为 AI 编程代理提供运行时守卫,在工具调用执行前判定放行、需人工确认或拦截。
Lelu-ai/lelu
开源的 AI 智能体授权引擎,在每个动作执行前进行检查,返回允许、拒绝、人工审核或改道决策。
- Star
- 71
- Fork
- 18
- 未关闭 Issue
- 14
- 最近提交
- 3天前
这是什么?
Lelu 位于 AI 智能体与其要执行的操作之间,例如发起退款、发送邮件或删除记录。智能体在执行前调用一次 HTTP 接口,Lelu 返回四种结果之一:允许、拒绝并给出原因、转入人工审核等待批准,或将操作改道到更安全的替代方案或沙箱。每一次决策都会写入审计日志。
除了 OPA、Casbin、AWS AVP 等工具提供的角色与权限检查,Lelu 还增加了提示词注入检测、基于已验证 LLM token log-probs 的置信度门控,以及行为异常评分。策略可以用 YAML 角色或 OPA/Rego 编写。引擎使用 Go 实现,可通过一条 npx 命令在本地运行,也可以基于 SQLite 或 Postgres 自托管。
项目提供 TypeScript 和 Python SDK、Go SDK 以及 MCP 服务器。Claude Code 插件通过 PreToolUse 钩子拦截 Bash、Edit、Write 调用,默认以影子模式运行。
核心功能
- 01为每次智能体操作返回允许、拒绝、人工审核或改道决策。
- 02通过五层过滤器检测提示词注入。
- 03基于已验证的 LLM 置信度信号进行操作门控。
- 04支持 YAML 与 OPA/Rego 策略,采用拒绝优先的评估方式。
- 05将不确定的决策交给人工审核队列,可接入 Slack、Teams 或 PagerDuty。
- 06每一次决策都写入审计日志。
适用场景
- 为编码智能体设置护栏,使软件包安装、部署和访问密钥文件需经人工批准。
- 在智能体发起退款或对外发送邮件前加入人工审批环节。
- 阻止无人值守的 Claude Code 会话执行破坏性命令。
- 在不改写现有代码的前提下,为 LangChain、CrewAI 或基于 MCP 的智能体添加授权检查。
快速上手
- 1
零配置启动本地引擎
npx -y lelu-mcp start - 2
安装 TypeScript SDK
npm install lelu-agent-auth
使用前须知
- 置信度门控需要模型提供商返回经验证的 log-probs,因此 Anthropic Claude 等模型会退回到缺失信号策略。
- 项目仍较年轻,仅有 68 颗星,处于早期阶段。
收录于专题
标签
常见问题
- lelu 是什么?
- 开源的 AI 智能体授权引擎,在每个动作执行前进行检查,返回允许、拒绝、人工审核或改道决策。 Lelu 位于 AI 智能体与其要执行的操作之间,例如发起退款、发送邮件或删除记录。智能体在执行前调用一次 HTTP 接口,Lelu 返回四种结果之一:允许、拒绝并给出原因、转入人工审核等待批准,或将操作改道到更安全的替代方案或沙箱。每一次决策都会写入审计日志。
- lelu 可以免费使用吗?用的什么许可证?
- lelu 以 MIT 许可证开源。用于商业产品前,请先确认许可证条款。
- lelu 还在维护吗?
- 活跃维护中。lelu 最近一次提交是在 2026年11月4日。
- lelu 适合用来做什么?
- 为编码智能体设置护栏,使软件包安装、部署和访问密钥文件需经人工批准。 在智能体发起退款或对外发送邮件前加入人工审批环节。 阻止无人值守的 Claude Code 会话执行破坏性命令。 在不改写现有代码的前提下,为 LangChain、CrewAI 或基于 MCP 的智能体添加授权检查。
- lelu 怎么安装和运行?
- 零配置启动本地引擎: npx -y lelu-mcp start 安装 TypeScript SDK: npm install lelu-agent-auth
- 在哪里获取 lelu?
- 源代码和安装说明在 GitHub 上:https://github.com/Lelu-ai/lelu
概要由 AI 根据项目 README 生成;GitHub 数据每日更新。
相关项目
为 Claude Code、Codex、Cursor 等编码智能体提供本地策略护栏,在工具调用执行前完成检查。
开源 AI 智能体防火墙,位于智能体与网络之间,拦截密钥外泄、提示注入、SSRF 和 MCP 工具投毒,并输出签名操作凭证。
开源 AI 安全验证工具,检查模型文件、代码、在线 LLM/Agent/MCP 服务及录制的 Agent 运行记录。
开源标准与 Python 验证器,要求 AI 智能体在执行高风险工具调用前提供可验证的来源与签名证据。
位于工具调用型 AI Agent 与其工具之间的安全中间件,可拦截高风险调用并脱敏敏感返回内容。