OpenAPPA sporer hva agenten har lest og stopper lekkasjer før verktøykallet

«Jo flere verktøy du kobler til KI-en, desto større er sjansen for at den kommer ut av kontroll og lekker sensitive data», skriver Matvey Kukuy, en av forfatterne, i Show HN-innlegget. Svaret fra Archestra er OpenAPPA, en MIT-lisensiert motor som ifølge README-en på GitHub sitter mellom agenten og verktøyene og stiller ett spørsmål før hver handling: får disse dataene gå til denne destinasjonen?

Motoren bygger på APPA (Agentic Permissions Policy Algebra), som merker alt agenten leser med sensitivitet og tillit og sjekker hvert utgående kall mot merkene før det sendes. Policyen skrives i deklarativ TOML, og kjernen er en ren beslutningsfunksjon uten IO, så den kan bygges inn fra Rust eller Python eller kjøres som sidecar. Kukuy beskriver to feller den skal unngå: LLM-as-judge-vakter lekket rundt 10 prosent i deres tester, mens deterministiske alternativer som Cedar, OPA og FIDES kostet rundt 59 prosent av nytten. I stedet for bare å blokkere gir OpenAPPA agenten en plan for å komme videre innenfor reglene. Forskningsartikkelen på arXiv beskriver engangsgrener som leser utrygg data uten å forurense hovedkonteksten.

Tallene er Archestras egne. På Bench-Corp (20 flerstegs bedriftsflyter, 200 episoder per modell) oppgir de 88 til 90 prosent fullførte oppgaver og 0 prosent vellykkede angrep med GPT-5.6 Luna, DeepSeek V4 Flash og Gemini 3.7 Flash, mot 37 til 44,5 prosent fullføring for FIDES. På AgentThreatBench slapp 0 av 720 observerte angrep gjennom. Selv kaller de prosjektet «preview and an RFC», og konfigurasjonen kan brekke uten overgangsløsning. I Hacker News-tråden kom de mest positive kommentarene fra forfattere og en Archestra-ansatt.

Hva bør du gjøre?

1. Les install.sh før du kjører curl-pipen. Skriptet sjekker sjekksummen og legger appa-binæren i ~/.local/bin, og appa plugin install claude-code registrerer hooks, en MCP-server og skillen appa-guide.
2. Start økter med clappa og kjør /appa-guide for å erstatte den fail-closed Claude-annotatoren med eksakte kontrakter for MCP-verktøyene dine. Vanlige claude-økter berøres ikke.
3. Hold det utenfor produksjon til policyformatet har stabilisert seg.