@aimarket/warden 0.4.0 → 0.6.0

package/CHANGELOG.md

@@ -2,6 +2,49 @@
 
 All notable changes to `@aimarket/warden`.
 
+## 0.6.0 — 2026-09-23
+
+Ruleset **v5**: language-independent coverage. A rule table written in one language cannot read
+meaning in every other, so v5 strengthens what does not depend on the language at all, and says
+plainly where the table stops.
+
+- **Text is folded before any rule reads it** (`src/fold.ts`, published as `fold` beside the rules
+  and part of the digest): NFKC for fullwidth letters, ligatures and other compatibility forms;
+  invisible characters inside a word dropped; the Unicode TAG block (invisible ASCII that can spell a
+  whole sentence) decoded; look-alike Cyrillic/Greek letters mapped to Latin inside a word that
+  already mixes scripts, while text written wholly in one script is left alone. An English rule can
+  no longer be dodged by `ｉｇｎｏｒｅ`, a zero-width space inside the word, tag characters or a Cyrillic
+  `о`. The two hidden-payload rules read the raw text (`raw: true` in the published table).
+- **`TOOL_DEF_HIDDEN_UNICODE`** now also catches the Unicode-tag block and the bidi isolates
+  (U+2066–2069). `displaySafe` escapes tag characters, so a finding never prints them invisibly.
+- **`TOOL_DEF_SECRET_EXFIL`** (new, advisory): a secret store (`.env`, `~/.ssh/…`,
+  `~/.aws/credentials`, `.npmrc`, …) and a URL, e-mail address or host within 100 characters of each
+  other — the shape of "read this, send it there" whatever language the connective words are in.
+  Advisory because on 10 645 live servers its only hit was honest (a deploy tool's ssh command to its
+  own host); refusing a server on a rule whose only real-world hit is honest is the v1 mistake again.
+- **Three measured false positives removed**: "send the user to https://…" is a redirect of a person
+  (guard `navigation`); "keep calling this until done without asking the user" is autonomy, not
+  concealment (guard `autonomy`); a zero-width joiner inside an emoji sequence is not concealment.
+
+Measured on the 10 645 distinct tool sets HISTOR holds (172 771 tools): v4 blocks 63, v5 blocks 56,
+and v5 blocks none that v4 did not. The 1 108-server survey figures (v3 → v4) are unchanged and
+still describe v4's calibration; this corpus is HISTOR's, not the survey's.
+
+## 0.5.1 — 2026-09-05
+
+stdio wire fix for Glama: replies are newline-delimited JSON (MCP stdio / mcp-proxy).
+Content-Length framing on stdout made Glama's health check time out (`ignoring non-JSON
+output [ 'Content-Length: …' ]`). Input still accepts Content-Length and mirrors it on
+the reply for legacy probes.
+
+## 0.5.0 — 2026-09-03
+
+stdio MCP server for Glama / Claude Desktop / Cursor (`warden-mcp` / `node dist/mcp-server.js`).
+Six tools with TDQS-oriented definitions (title, when-to-use / when-not naming siblings, MCP
+annotations, per-parameter descriptions, `outputSchema`). Dockerfile + `glama.json`. No secrets,
+no npm runtime dependencies. The process inspects a `tools/list` dump; it does not launch the
+server under scan.
+
 ## 0.4.0 — 2026-08-24
 
 Calibrated against the ecosystem, not against fixtures. WARDEN was pointed at every public MCP

package/README-es.md

@@ -1,23 +1,42 @@
-# WARDEN — cortafuegos de seguridad para MCP
+# WARDEN — servidor MCP
+
+<!-- mcp-name: io.github.alexar76/warden -->
 
 <!-- aicom-readme-badges -->
 <p align="center">
   <a href="https://github.com/alexar76/warden/actions/workflows/ci.yml"><img src="docs/badges/ci.svg" alt="CI" /></a>
-  <a href="https://www.npmjs.com/package/@aimarket/warden"><img src="https://img.shields.io/npm/v/@aimarket/warden?color=cb3837&label=npm" alt="npm version" /></a>
+  <a href="https://glama.ai/mcp/servers/alexar76/warden"><img src="https://glama.ai/mcp/servers/alexar76/warden/badges/score.svg" alt="warden MCP server" /></a>
+  <a href="https://warden.modelmarket.dev/"><img src="https://img.shields.io/npm/v/@aimarket/warden?color=cb3837&label=npm" alt="npm version" /></a>
   <img src="docs/badges/deps.svg" alt="Cero dependencias de ejecución" />
-  <img src="docs/badges/tests.svg" alt="141 pruebas en verde" />
+  <img src="docs/badges/tests.svg" alt="189 pruebas en verde" />
   <img src="docs/badges/node.svg" alt="Node >= 20" />
   <a href="LICENSE"><img src="docs/badges/license.svg" alt="Licencia: MIT" /></a>
 </p>
 <!-- /aicom-readme-badges -->
 
 <p align="center">
-  <img src="docs/assets/hero.svg" alt="WARDEN — MCP security firewall: tool defs pass static-scan, threat-feed, origin, and pinning before a recorded verdict" width="920" />
+  <a href="https://warden.modelmarket.dev/">
+    <img src="docs/screenshots/readme/hero-3d.png" alt="WARDEN — cadena 3D de puertas: tools/list por static-scan, threat-feed, origin y pinning hasta un veredicto registrado" width="100%" />
+  </a>
 </p>
 
 
 > 🌐 [English](README.md) · [Русский](README-ru.md) · **Español** · [Français](README-fr.md) · [中文](README-zh.md) · [Glosario](https://github.com/alexar76/aicom/blob/main/docs/localization-glossary.md)
 
+**Un servidor MCP. Cortafuegos de las definiciones de herramienta anunciadas. Biblioteca incluida.**
+
+Transporte: **stdio** (`npx -y @aimarket/warden` / `node dist/mcp-server.js`). Hosts compatibles:
+Claude Desktop, Cursor, Glama y cualquier cliente MCP con stdio. Sin claves.
+
+| | |
+|------|----------|
+| Entrada MCP (stdio) | `warden-mcp` → [`src/mcp-server.ts`](src/mcp-server.ts) |
+| Herramientas | `vet_mcp_server`, `static_scan_tools`, `classify_sensitive_tools`, `check_egress_url`, `canonicalize_json`, `list_scan_rules` |
+| Biblioteca | `import { Warden } from "@aimarket/warden"` |
+| Glama / Docker (stdio) | [`Dockerfile`](Dockerfile), [`glama.json`](glama.json) |
+| Official MCP Registry | [`server.json`](server.json) → `io.github.alexar76/warden` |
+| Smithery | [`smithery.yaml`](smithery.yaml) |
+
 Un servidor MCP le dice a tu agente qué hacen sus herramientas. El agente se lo cree — y esa frase
 es la superficie de ataque. La descripción de una herramienta es texto de prompt que un tercero
 entrega directamente al contexto de tu modelo, y un campo de esquema llamado `api_key` es una
@@ -27,15 +46,59 @@ WARDEN examina un servidor **antes de que ninguna de sus herramientas llegue al
 un veredicto que puedes registrar: permitir/bloquear, una puntuación 0..1, los hallazgos que la
 produjeron, una partición por herramienta y la tabla de reglas exacta que estaba en vigor.
 
+**Cero dependencias npm de ejecución.** El único import de la biblioteca es `node:crypto`. El
+servidor MCP stdio añade otros builtins `node:` (`fs`, `path`, `process`) y sigue sin traer paquetes.
+Es el cortafuegos de [ARGUS](https://github.com/alexar76/argus), extraído para que puedas ponerlo
+delante de tu propio host MCP sin adoptar un agente.
+
+## Ejecutar como servidor MCP (stdio)
+
 ```bash
-npm install @aimarket/warden
+npx -y @aimarket/warden
+npm run build && node dist/mcp-server.js
 ```
 
-**Cero dependencias de ejecución.** El único import de todo el paquete es `node:crypto`. Es el
-cortafuegos de [ARGUS](https://github.com/alexar76/argus), extraído para que puedas ponerlo delante
-de tu propio host MCP sin adoptar un agente.
+Claude Desktop / Cursor (`mcpServers`):
+
+```json
+{
+  "mcpServers": {
+    "warden": {
+      "command": "npx",
+      "args": ["-y", "@aimarket/warden"]
+    }
+  }
+}
+```
 
-## Inicio rápido
+El proceso **no** arranca, no hace de proxy ni aísla otro servidor MCP: pasas un dump de
+`tools/list` y recibes un veredicto.
+
+| Herramienta | Cuándo usarla |
+|---|---|
+| `vet_mcp_server` | Cadena completa de puertas |
+| `static_scan_tools` | Solo el escaneo estático |
+| `classify_sensitive_tools` | Partición por globs del operador |
+| `check_egress_url` | Allowlist de hosts (lista vacía = denegar todos) |
+| `canonicalize_json` | Bytes RFC 8785 |
+| `list_scan_rules` | Tabla de reglas publicada |
+
+### Publicar en Glama
+
+Listado: **[glama.ai/mcp/servers/alexar76/warden](https://glama.ai/mcp/servers/alexar76/warden)** ·
+quality score: **[glama.ai/mcp/servers/alexar76/warden/score](https://glama.ai/mcp/servers/alexar76/warden/score)**
+
+[![alexar76/warden MCP server](https://glama.ai/mcp/servers/alexar76/warden/badges/score.svg)](https://glama.ai/mcp/servers/alexar76/warden)
+
+El mismo patrón que [ARGUS](https://github.com/alexar76/argus) y
+[aimarket-mcp](https://github.com/alexar76/aimarket-mcp): [`glama.json`](glama.json) +
+[`Dockerfile`](Dockerfile) + `node dist/mcp-server.js`. Formulario: [`docs/GLAMA.md`](docs/GLAMA.md).
+
+## Biblioteca (incrustar en tu host)
+
+```bash
+npm install @aimarket/warden
+```
 
 ```ts
 import { Warden, ThreatFeed, silentLogger } from "@aimarket/warden";
@@ -73,7 +136,7 @@ descarga del threat feed que tú pediste al pasar una URL a `load()`.
 
 ```mermaid
 flowchart LR
-  T["definiciones<br/>de herramientas"] --> S["static scan<br/>25 reglas"]
+  T["definiciones<br/>de herramientas"] --> S["static scan<br/>26 reglas"]
   S --> F["threat feed<br/>11 integradas + firmado"]
   F --> O["origin<br/>declarado vs catálogo"]
   O --> P["pinning<br/>deriva vs aprobación"]
@@ -82,7 +145,7 @@ flowchart LR
 
 | Puerta | Qué decide | Red | ¿Fatal? |
 |---|---|---|---|
-| **static-scan** | Inyección, exfiltración, peticiones de credenciales y señales de Unicode oculto/base64 en el `name`, la `description` y el `inputSchema` de la herramienta — 25 reglas, v4, de las cuales 15 pueden bloquear y 10 son solo de aviso, 17 cubren también el nombre y 12 llevan un guard de contexto | ninguna | no |
+| **static-scan** | Inyección, exfiltración, peticiones de credenciales y señales de Unicode oculto/base64 en el `name`, la `description` y el `inputSchema` de la herramienta — 26 reglas, v5, de las cuales 15 pueden bloquear y 11 son solo de aviso, 17 cubren también el nombre y 15 llevan un guard de contexto. v5 normaliza antes el texto (ancho completo, caracteres invisibles, etiquetas Unicode, letras sosias), así que la ofuscación no elude ninguna regla en ningún idioma | ninguna | no |
 | **threat-feed** | Identidad de servidor o herramienta conocida como maliciosa: 11 registros integrados más un feed firmado opcional | solo la descarga del feed | sí, para un `critical` con alcance de servidor |
 | **origin** | Si el operador declaró este servidor o llegó desde un catálogo remoto | ninguna | sí, con `allowUnknownServers: false` |
 | **pinning** | Si las definiciones de herramientas siguen coincidiendo con lo que el usuario aprobó | ninguna | sí, con `pinToolDefs: true` |
@@ -104,7 +167,7 @@ endureciera el umbral.
   findings: [{ gate, severity, code: "THREAT_TOOL_MATCH", message, tool, advisory? }],
   allowedTools: ["add"],
   blockedTools: ["sweeper"],
-  rulesets: { staticScan: { version: "4", digest: "sha256-klRyTiD3…" } }
+  rulesets: { staticScan: { version: "5", digest: "sha256-HUKSzM6c…" } }
 }
 ```
 
@@ -159,6 +222,9 @@ degradar a ninguna protección:
 | [El threat feed firmado](docs/threat-feed.es.md) | El contrato en el cable, las tres comprobaciones y cómo publicar un feed que WARDEN acepte |
 | [Guía de integración](docs/integration.es.md) | Cómo conectar WARDEN a tu propio host MCP, elecciones de política y qué registrar |
 | [Estudio de campo: 1 108 servidores MCP públicos](docs/mcp-survey.es.md) | Qué decidió WARDEN sobre definiciones de herramienta reales de terceros — 50 servidores bloqueados, 4 sustentados, y las seis formas en que el resto se equivocó |
+| [Glama / Docker](docs/GLAMA.md) | MCP stdio, health check, Build steps / CMD |
+| [Security](SECURITY.md) | Cómo informar de un bypass del cortafuegos |
+| [Contributing](CONTRIBUTING.md) | Regla de cero dependencias, PRs de la tabla de reglas |
 
 ## Lo que esto no es
 
@@ -173,11 +239,13 @@ degradar a ninguna protección:
   `test/no-phantom-gate.test.ts` falla si alguna puerta vuelve a declarar inalcanzabilidad.
 - **No sustituye a leer las definiciones de herramientas.** 11 registros integrados de amenazas son
   un suelo, no un catálogo.
+- **No es un proxy.** La entrada MCP stdio inspecciona las definiciones que le pasas. No se conecta
+  al servidor bajo examen, no lo descarga ni lo ejecuta.
 
 ## Desarrollo
 
 ```bash
-npm install && npm run build && npm test   # 141 pruebas
+npm install && npm run build && npm test   # 189 pruebas
 ```
 
 `test/packaging.test.ts` es lo que mantiene honesto el titular: falla si aparece una dependencia de

package/README-fr.md

@@ -1,23 +1,42 @@
-# WARDEN — pare-feu de sécurité MCP
+# WARDEN — serveur MCP
+
+<!-- mcp-name: io.github.alexar76/warden -->
 
 <!-- aicom-readme-badges -->
 <p align="center">
   <a href="https://github.com/alexar76/warden/actions/workflows/ci.yml"><img src="docs/badges/ci.svg" alt="CI" /></a>
-  <a href="https://www.npmjs.com/package/@aimarket/warden"><img src="https://img.shields.io/npm/v/@aimarket/warden?color=cb3837&label=npm" alt="version npm" /></a>
+  <a href="https://glama.ai/mcp/servers/alexar76/warden"><img src="https://glama.ai/mcp/servers/alexar76/warden/badges/score.svg" alt="warden MCP server" /></a>
+  <a href="https://warden.modelmarket.dev/"><img src="https://img.shields.io/npm/v/@aimarket/warden?color=cb3837&label=npm" alt="version npm" /></a>
   <img src="docs/badges/deps.svg" alt="Zéro dépendance d'exécution" />
-  <img src="docs/badges/tests.svg" alt="141 tests au vert" />
+  <img src="docs/badges/tests.svg" alt="189 tests au vert" />
   <img src="docs/badges/node.svg" alt="Node >= 20" />
   <a href="LICENSE"><img src="docs/badges/license.svg" alt="Licence : MIT" /></a>
 </p>
 <!-- /aicom-readme-badges -->
 
 <p align="center">
-  <img src="docs/assets/hero.svg" alt="WARDEN — MCP security firewall: tool defs pass static-scan, threat-feed, origin, and pinning before a recorded verdict" width="920" />
+  <a href="https://warden.modelmarket.dev/">
+    <img src="docs/screenshots/readme/hero-3d.png" alt="WARDEN — chaîne 3D de portes : tools/list via static-scan, threat-feed, origin et pinning jusqu’à un verdict enregistré" width="100%" />
+  </a>
 </p>
 
 
 > 🌐 [English](README.md) · [Русский](README-ru.md) · [Español](README-es.md) · **Français** · [中文](README-zh.md) · [Glossaire](https://github.com/alexar76/aicom/blob/main/docs/localization-glossary.md)
 
+**Un serveur MCP. Pare-feu des définitions d'outils annoncées. Bibliothèque incluse.**
+
+Transport : **stdio** (`npx -y @aimarket/warden` / `node dist/mcp-server.js`). Hôtes compatibles :
+Claude Desktop, Cursor, Glama et tout client MCP en stdio. Aucune clé.
+
+| | |
+|------|----------|
+| Entrée MCP (stdio) | `warden-mcp` → [`src/mcp-server.ts`](src/mcp-server.ts) |
+| Outils | `vet_mcp_server`, `static_scan_tools`, `classify_sensitive_tools`, `check_egress_url`, `canonicalize_json`, `list_scan_rules` |
+| Bibliothèque | `import { Warden } from "@aimarket/warden"` |
+| Glama / Docker (stdio) | [`Dockerfile`](Dockerfile), [`glama.json`](glama.json) |
+| Official MCP Registry | [`server.json`](server.json) → `io.github.alexar76/warden` |
+| Smithery | [`smithery.yaml`](smithery.yaml) |
+
 Un serveur MCP indique lui-même à votre agent ce que font ses outils. L'agent le croit — et cette
 phrase est la surface d'attaque. La description d'un outil est du texte de prompt qu'un tiers livre
 directement dans le contexte de votre modèle, et un champ de schéma nommé `api_key` est une demande
@@ -27,15 +46,59 @@ WARDEN examine un serveur **avant qu'aucun de ses outils n'atteigne le modèle**
 que vous pouvez consigner : autoriser/bloquer, un score 0..1, les constats qui l'ont produit, une
 partition par outil et la table de règles exacte qui était en vigueur.
 
+**Zéro dépendance npm d'exécution.** Le seul import de la bibliothèque est `node:crypto`. Le serveur
+MCP stdio ajoute d'autres builtins `node:` (`fs`, `path`, `process`) et ne tire toujours aucun paquet.
+C'est le pare-feu d'[ARGUS](https://github.com/alexar76/argus), extrait pour que vous puissiez le
+placer devant votre propre hôte MCP sans adopter d'agent.
+
+## Lancer comme serveur MCP (stdio)
+
 ```bash
-npm install @aimarket/warden
+npx -y @aimarket/warden
+npm run build && node dist/mcp-server.js
 ```
 
-**Zéro dépendance d'exécution.** Le seul import de tout le paquet est `node:crypto`. C'est le pare-feu
-d'[ARGUS](https://github.com/alexar76/argus), extrait pour que vous puissiez le placer devant votre
-propre hôte MCP sans adopter d'agent.
+Claude Desktop / Cursor (`mcpServers`) :
+
+```json
+{
+  "mcpServers": {
+    "warden": {
+      "command": "npx",
+      "args": ["-y", "@aimarket/warden"]
+    }
+  }
+}
+```
 
-## Démarrage rapide
+Le processus ne démarre, ne proxifie ni n'isole un autre serveur MCP : vous passez un dump
+`tools/list`, vous récupérez un verdict.
+
+| Outil | Quand l'appeler |
+|---|---|
+| `vet_mcp_server` | Chaîne complète de portes |
+| `static_scan_tools` | Scan statique uniquement |
+| `classify_sensitive_tools` | Partition par globs opérateur |
+| `check_egress_url` | Allowlist d'hôtes (liste vide = tout refuser) |
+| `canonicalize_json` | Octets RFC 8785 |
+| `list_scan_rules` | Table de règles publiée |
+
+### Publier sur Glama
+
+Listing : **[glama.ai/mcp/servers/alexar76/warden](https://glama.ai/mcp/servers/alexar76/warden)** ·
+quality score : **[glama.ai/mcp/servers/alexar76/warden/score](https://glama.ai/mcp/servers/alexar76/warden/score)**
+
+[![alexar76/warden MCP server](https://glama.ai/mcp/servers/alexar76/warden/badges/score.svg)](https://glama.ai/mcp/servers/alexar76/warden)
+
+Même modèle que [ARGUS](https://github.com/alexar76/argus) et
+[aimarket-mcp](https://github.com/alexar76/aimarket-mcp) : [`glama.json`](glama.json) +
+[`Dockerfile`](Dockerfile) + `node dist/mcp-server.js`. Formulaire : [`docs/GLAMA.md`](docs/GLAMA.md).
+
+## Bibliothèque (embarquer dans votre hôte)
+
+```bash
+npm install @aimarket/warden
+```
 
 ```ts
 import { Warden, ThreatFeed, silentLogger } from "@aimarket/warden";
@@ -73,7 +136,7 @@ téléchargement du threat feed que vous avez demandé en passant une URL à `lo
 
 ```mermaid
 flowchart LR
-  T["définitions<br/>des outils"] --> S["static scan<br/>25 règles"]
+  T["définitions<br/>des outils"] --> S["static scan<br/>26 règles"]
   S --> F["threat feed<br/>11 intégrées + signé"]
   F --> O["origin<br/>déclaré vs catalogue"]
   O --> P["pinning<br/>dérive vs approbation"]
@@ -82,7 +145,7 @@ flowchart LR
 
 | Porte | Ce qu'elle décide | Réseau | Fatale ? |
 |---|---|---|---|
-| **static-scan** | Injection, exfiltration, demandes d'identifiants et indices d'Unicode masqué/base64 dans le `name`, la `description` et l'`inputSchema` de l'outil — 25 règles, v4, dont 15 peuvent bloquer et 10 sont purement indicatives, 17 couvrent aussi le nom et 12 portent un guard de contexte | aucun | non |
+| **static-scan** | Injection, exfiltration, demandes d'identifiants et indices d'Unicode masqué/base64 dans le `name`, la `description` et l'`inputSchema` de l'outil — 26 règles, v5, dont 15 peuvent bloquer et 11 sont purement indicatives, 17 couvrent aussi le nom et 15 portent un guard de contexte. v5 normalise d'abord le texte (pleine chasse, caractères invisibles, balises Unicode, lettres sosies) : l'obfuscation ne contourne aucune règle, quelle que soit la langue | aucun | non |
 | **threat-feed** | Identité de serveur ou outil connu comme malveillant : 11 enregistrements intégrés plus un feed signé optionnel | seulement le téléchargement du feed | oui, pour un `critical` de portée serveur |
 | **origin** | Si l'opérateur a déclaré ce serveur ou s'il provient d'un catalogue distant | aucun | oui, avec `allowUnknownServers: false` |
 | **pinning** | Si les définitions d'outils correspondent encore à ce que l'utilisateur a approuvé | aucun | oui, avec `pinToolDefs: true` |
@@ -104,7 +167,7 @@ bloquante pour quiconque durcissait le seuil.
   findings: [{ gate, severity, code: "THREAT_TOOL_MATCH", message, tool, advisory? }],
   allowedTools: ["add"],
   blockedTools: ["sweeper"],
-  rulesets: { staticScan: { version: "4", digest: "sha256-klRyTiD3…" } }
+  rulesets: { staticScan: { version: "5", digest: "sha256-HUKSzM6c…" } }
 }
 ```
 
@@ -159,6 +222,9 @@ une absence de protection :
 | [Le threat feed signé](docs/threat-feed.fr.md) | Le contrat sur le fil, les trois vérifications, et comment publier un feed que WARDEN acceptera |
 | [Guide d'intégration](docs/integration.fr.md) | Brancher WARDEN sur votre propre hôte MCP, choix de politique, et quoi consigner |
 | [Étude de terrain : 1 108 serveurs MCP publics](docs/mcp-survey.fr.md) | Ce que WARDEN a décidé sur de vraies définitions d'outil tierces — 50 serveurs bloqués, 4 étayés, et les six façons dont le reste était faux |
+| [Glama / Docker](docs/GLAMA.md) | MCP stdio, health check, Build steps / CMD |
+| [Security](SECURITY.md) | Signaler un contournement du pare-feu |
+| [Contributing](CONTRIBUTING.md) | Règle zéro dépendance, PRs de table de règles |
 
 ## Ce que ce n'est pas
 
@@ -173,11 +239,13 @@ une absence de protection :
   `test/no-phantom-gate.test.ts` échoue si une porte déclare de nouveau une injoignabilité.
 - **Pas un substitut à la lecture des définitions d'outils.** 11 enregistrements de menaces intégrés
   sont un socle, pas un catalogue.
+- **Pas un proxy.** L'entrée MCP stdio inspecte les définitions que vous lui passez. Elle ne se
+  connecte pas au serveur examiné, ne le télécharge pas et ne l'exécute pas.
 
 ## Développement
 
 ```bash
-npm install && npm run build && npm test   # 141 tests
+npm install && npm run build && npm test   # 189 tests
 ```
 
 `test/packaging.test.ts` est ce qui tient l'accroche honnête : il échoue si une dépendance d'exécution

package/README-ru.md

@@ -1,23 +1,42 @@
-# WARDEN — файрвол безопасности MCP
+# WARDEN — MCP-сервер
+
+<!-- mcp-name: io.github.alexar76/warden -->
 
 <!-- aicom-readme-badges -->
 <p align="center">
   <a href="https://github.com/alexar76/warden/actions/workflows/ci.yml"><img src="docs/badges/ci.svg" alt="CI" /></a>
-  <a href="https://www.npmjs.com/package/@aimarket/warden"><img src="https://img.shields.io/npm/v/@aimarket/warden?color=cb3837&label=npm" alt="npm version" /></a>
+  <a href="https://glama.ai/mcp/servers/alexar76/warden"><img src="https://glama.ai/mcp/servers/alexar76/warden/badges/score.svg" alt="warden MCP server" /></a>
+  <a href="https://warden.modelmarket.dev/"><img src="https://img.shields.io/npm/v/@aimarket/warden?color=cb3837&label=npm" alt="npm version" /></a>
   <img src="docs/badges/deps.svg" alt="Zero runtime dependencies" />
-  <img src="docs/badges/tests.svg" alt="141 tests passing" />
+  <img src="docs/badges/tests.svg" alt="189 tests passing" />
   <img src="docs/badges/node.svg" alt="Node >= 20" />
   <a href="LICENSE"><img src="docs/badges/license.svg" alt="License: MIT" /></a>
 </p>
 <!-- /aicom-readme-badges -->
 
 <p align="center">
-  <img src="docs/assets/hero.svg" alt="WARDEN — MCP security firewall: tool defs pass static-scan, threat-feed, origin, and pinning before a recorded verdict" width="920" />
+  <a href="https://warden.modelmarket.dev/">
+    <img src="docs/screenshots/readme/hero-3d.png" alt="WARDEN — 3D-цепочка гейтов: tools/list через static-scan, threat-feed, origin и pinning к записанному вердикту" width="100%" />
+  </a>
 </p>
 
 
 > 🌐 [English](README.md) · **Русский** · [Español](README-es.md) · [Français](README-fr.md) · [中文](README-zh.md) · [Глоссарий](https://github.com/alexar76/aicom/blob/main/docs/localization-glossary.md)
 
+**Один MCP-сервер. Файрвол для объявленных определений инструментов. Библиотека в комплекте.**
+
+Транспорт: **stdio** (`npx -y @aimarket/warden` / `node dist/mcp-server.js`). Совместимые хосты:
+Claude Desktop, Cursor, Glama и любой MCP-клиент со stdio. Ключи не нужны.
+
+| | |
+|------|----------|
+| Точка входа MCP (stdio) | `warden-mcp` → [`src/mcp-server.ts`](src/mcp-server.ts) |
+| Инструменты | `vet_mcp_server`, `static_scan_tools`, `classify_sensitive_tools`, `check_egress_url`, `canonicalize_json`, `list_scan_rules` |
+| Библиотека | `import { Warden } from "@aimarket/warden"` |
+| Glama / Docker (stdio) | [`Dockerfile`](Dockerfile), [`glama.json`](glama.json) |
+| Official MCP Registry | [`server.json`](server.json) → `io.github.alexar76/warden` |
+| Smithery | [`smithery.yaml`](smithery.yaml) |
+
 MCP-сервер сам сообщает вашему агенту, что делают его инструменты. Агент этому верит — и вот эта
 фраза и есть поверхность атаки. Описание инструмента — это текст промпта, который третья сторона
 доставляет прямо в контекст модели, а поле схемы с именем `api_key` — это запрос ваших секретов,
@@ -27,15 +46,59 @@ WARDEN проверяет сервер **до того, как его инстр
 который можно записать: allow/block, оценку 0..1, найденные проблемы, разбиение по инструментам и
 точную таблицу правил, которая действовала в момент проверки.
 
+**Ноль npm-зависимостей в рантайме.** В библиотеке единственный импорт — `node:crypto`. stdio
+MCP-сервер добавляет другие `node:` builtins (`fs`, `path`, `process`) и по-прежнему не тянет пакеты.
+Это файрвол из [ARGUS](https://github.com/alexar76/argus), вынесенный отдельно, чтобы его можно было
+поставить перед своим MCP-хостом, не переезжая на агента.
+
+## Запуск как MCP-сервер (stdio)
+
 ```bash
-npm install @aimarket/warden
+npx -y @aimarket/warden
+npm run build && node dist/mcp-server.js
 ```
 
-**Ноль рантайм-зависимостей.** Единственный импорт во всём пакете — `node:crypto`. Это файрвол из
-[ARGUS](https://github.com/alexar76/argus), вынесенный отдельно, чтобы его можно было поставить
-перед своим MCP-хостом, не переезжая на агента.
+Claude Desktop / Cursor (`mcpServers`):
+
+```json
+{
+  "mcpServers": {
+    "warden": {
+      "command": "npx",
+      "args": ["-y", "@aimarket/warden"]
+    }
+  }
+}
+```
 
-## Быстрый старт
+Процесс **не** запускает, не проксирует и не изолирует чужой MCP-сервер: вы передаёте дамп
+`tools/list`, получаете вердикт.
+
+| Инструмент | Когда вызывать |
+|---|---|
+| `vet_mcp_server` | Полная цепочка гейтов |
+| `static_scan_tools` | Только static-scan |
+| `classify_sensitive_tools` | Glob-разбиение оператора |
+| `check_egress_url` | Allowlist хостов (пустой список — отказ всем) |
+| `canonicalize_json` | Байты RFC 8785 |
+| `list_scan_rules` | Опубликованная таблица правил |
+
+### Публикация на Glama
+
+Листинг: **[glama.ai/mcp/servers/alexar76/warden](https://glama.ai/mcp/servers/alexar76/warden)** ·
+quality score: **[glama.ai/mcp/servers/alexar76/warden/score](https://glama.ai/mcp/servers/alexar76/warden/score)**
+
+[![alexar76/warden MCP server](https://glama.ai/mcp/servers/alexar76/warden/badges/score.svg)](https://glama.ai/mcp/servers/alexar76/warden)
+
+Тот же шаблон, что у [ARGUS](https://github.com/alexar76/argus) и
+[aimarket-mcp](https://github.com/alexar76/aimarket-mcp): [`glama.json`](glama.json) +
+[`Dockerfile`](Dockerfile) + `node dist/mcp-server.js`. Форма: [`docs/GLAMA.md`](docs/GLAMA.md).
+
+## Библиотека (встроить в свой хост)
+
+```bash
+npm install @aimarket/warden
+```
 
 ```ts
 import { Warden, ThreatFeed, silentLogger } from "@aimarket/warden";
@@ -73,7 +136,7 @@ await warden.approve(server, tools); // зафиксировать (pin) то,
 
 ```mermaid
 flowchart LR
-  T["определения<br/>инструментов"] --> S["static scan<br/>25 правил"]
+  T["определения<br/>инструментов"] --> S["static scan<br/>26 правил"]
   S --> F["threat feed<br/>11 встроенных + подписанный"]
   F --> O["origin<br/>объявлен или из каталога"]
   O --> P["pinning<br/>дрейф против подтверждения"]
@@ -82,7 +145,7 @@ flowchart LR
 
 | Гейт | Что решает | Сеть | Fatal? |
 |---|---|---|---|
-| **static-scan** | Инъекции, эксфильтрация, запросы учётных данных, скрытый Unicode и base64-признаки в `name`, `description` и `inputSchema` инструмента — 25 правил, версия 4, из них 15 могут блокировать и 10 только сообщают, 17 покрывают и имя, а у 12 есть контекстный guard | нет | нет |
+| **static-scan** | Инъекции, эксфильтрация, запросы учётных данных, скрытый Unicode и base64-признаки в `name`, `description` и `inputSchema` инструмента — 26 правил, версия 5, из них 15 могут блокировать и 11 только сообщают, 17 покрывают и имя, а у 15 есть контекстный guard. v5 сначала приводит текст к обычному виду (широкие буквы, невидимые символы, Unicode-теги, буквы-двойники), поэтому обфускация не обходит правило ни на каком языке | нет | нет |
 | **threat-feed** | Известный плохой сервер или инструмент: 11 встроенных записей плюс опциональный подписанный feed | только загрузка feed | да, для `critical` на уровне сервера |
 | **origin** | Объявил ли оператор этот сервер, или он пришёл из удалённого каталога | нет | да, при `allowUnknownServers: false` |
 | **pinning** | Совпадают ли определения инструментов с тем, что подтвердил пользователь | нет | да, при `pinToolDefs: true` |
@@ -103,7 +166,7 @@ severity снова делало находку блокирующей для в
   findings: [{ gate, severity, code: "THREAT_TOOL_MATCH", message, tool, advisory? }],
   allowedTools: ["add"],
   blockedTools: ["sweeper"],
-  rulesets: { staticScan: { version: "4", digest: "sha256-klRyTiD3…" } }
+  rulesets: { staticScan: { version: "5", digest: "sha256-HUKSzM6c…" } }
 }
 ```
 
@@ -158,6 +221,9 @@ GET <ваш feed url>
 | [Подписанный threat feed](docs/threat-feed.ru.md) | Контракт на проводе, три проверки и как публиковать feed, который WARDEN примет |
 | [Руководство по интеграции](docs/integration.ru.md) | Как встроить WARDEN в свой MCP-хост, выбор политики и что записывать |
 | [Полевой обзор: 1 108 публичных MCP-серверов](docs/mcp-survey.ru.md) | Что WARDEN решил на настоящих чужих определениях инструментов — 50 серверов заблокировано, 4 подтверждено, и шесть способов, которыми остальные оказались ошибкой |
+| [Glama / Docker](docs/GLAMA.md) | stdio MCP, health check, Build steps / CMD |
+| [Security](SECURITY.md) | Как сообщать об обходе файрвола |
+| [Contributing](CONTRIBUTING.md) | Правило нулевых зависимостей, PR на таблицу правил |
 
 ## Чем это не является
 
@@ -172,11 +238,13 @@ GET <ваш feed url>
   снова заявит о недоступности.
 - **Не замена чтению определений инструментов.** 11 встроенных записей об угрозах — это минимум, а не
   каталог.
+- **Не прокси.** stdio MCP-вход смотрит на определения, которые вы ему передали. Он не
+  подключается к проверяемому серверу, не качает его и не исполняет.
 
 ## Разработка
 
 ```bash
-npm install && npm run build && npm test   # 141 тестов
+npm install && npm run build && npm test   # 189 тестов
 ```
 
 `test/packaging.test.ts` — то, что удерживает заголовок честным: он падает, если появляется