快速结论
SolonGate 是位于 AI Agent 与 MCP server 或其他工具之间的执行策略网关。它检查即将发生的文件、命令、URL、API 或数据库操作，根据 ALLOW/DENY 规则在调用到达真实工具前放行或阻断，并记录审计事件。核心价值是把“请模型不要做危险操作”的提示词约束，转换为独立于模型的执行层控制。
它更适合已有 Agent 工具调用、愿意编写和维护策略的安全团队，而不是安装后自动解决所有提示注入问题的通用防护。公开架构说明显示策略可编译为 OPA-WASM 并在本地判断；AI Judge 是 Local/自托管场景中的可选能力，不是每次决策必经的安全层。云端产品采用联系销售模式，公开 npm proxy 包的 MIT 许可证只覆盖该包，不能推导 SolonGate Cloud、控制台、后端或全部 Local 组件均开源。
核心功能
- 工具调用拦截：代理 MCP stdio、SSE 或 HTTP 链路，在操作执行前读取结构化参数
- 本地策略判断：官网说明规则编译为 OPA-WASM，在机器本地匹配工具、路径、命令、URL 和权限
- 白名单与拒绝列表：白名单模式可在策略无法判断时 fail closed，具体行为需实测
- 审计日志：记录允许和拒绝、命中规则、原因、延迟以及可能包含的完整工具参数
- 策略管理：云端控制台用于编写、同步、版本化和回滚策略
- 可选 AI Judge：Local 版可使用由 vLLM 服务的本地 Qwen 模型处理模糊决策；确定性策略本身不依赖 Judge
- 部署范围：可覆盖整机、单个仓库或单个 MCP server，并宣传 Local/air-gapped 部署
适合人群
- Agent 平台团队：已向模型开放文件、Shell、网络或数据库工具
- 安全工程师：需要把最小权限转化为可执行规则
- 受监管组织：要求本地策略、审计和可选隔离部署
- MCP 维护者：希望在不修改业务 server 的情况下增加代理控制
- 不太适合：没有策略维护人员、不能接受代理故障点，或希望靠 AI Judge 替代权限设计的团队
使用场景
- 禁止 Agent 读取密钥文件、写入生产配置或执行破坏性命令
- 只允许特定仓库、域名、工具名和操作权限
- 在上线前观察允许/拒绝事件并逐步收紧策略
- 将一个高风险 MCP server 包在 proxy 后进行隔离测试
- 对敏感环境使用 Local 部署，避免工具参数进入云端审计系统
价格与版本
截止 2026 年 7 月 21 日，官网没有可靠的公开自助价格表，主要提供 Get Started 和联系销售入口，因此本条目标记为“付费”。不要沿用“免费额度/企业版”的推测分档；团队应直接确认席位、受保护机器或 server 数量、日志量、保留期限、Local 部署、支持和退出费用。
@solongate/proxy npm 包标示 MIT，可以检查和使用这个代理包。官网条款则说明 SolonGate 服务、文档和内容权利归土耳其公司 ERAENVISION TEKNOLOJİ VE İNOVASYON HİZMETLERİ LİMİTED ŞİRKETİ，且网站仍显示“即将开源”。这意味着公开 proxy 与商业云服务必须分别评估，不能把包许可证扩大到控制台和后端。
国内访问与使用体验
海外官网、认证控制台和云端 hub 的访问稳定性需在部署网络中实测。初次评估可从单个低风险 MCP server 开始，用 npx @solongate/proxy -- node my-server.js 一类包装方式观察策略影响，再测试白名单失效、控制面不可达、日志上传失败和版本回滚。
云端审计尤其敏感。官网演示与说明表明日志可带完整 arguments，这些参数可能包含文件内容、命令、URL、查询、令牌或个人数据。隐私政策只给出原则性保留说明，未公布固定保留期；分包商页列出 Railway、Turso、Supabase、Upstash、Cloudflare、GitHub、Brevo、Grafana Cloud 和 Cal.com 等服务。团队应确认哪些服务实际接触工具参数、数据区域、跨境机制、脱敏、字段级过滤和删除 SLA。
优点
- 在真实工具调用层执行规则，比单纯提示词约束更接近强制控制
- OPA-WASM 本地判断可减少策略决策的网络往返
- 可限定整机、仓库或单 server，适合渐进式试点
- AI Judge 可选，确定性规则不会被迫依赖另一个模型
- proxy npm 包 MIT，便于检查客户端代理实现
不足
- 商业价格需联系销售，成本和套餐边界不透明
- 云端平台是专有服务；“即将开源”不等于当前完整源码可审计
- 完整工具参数进入审计日志会扩大敏感数据、密钥和个人信息暴露面
- 隐私政策声称定期安全审计，但未公开审计机构、范围、日期或报告，不能视为独立认证
- 未见充分公开的 SOC 2/ISO 27001 证明、渗透测试摘要、漏洞披露政策、SLA 和灾难恢复指标
- 分包商较多，需逐项确认数据接触范围和跨境安排
- 网关只能执行已配置规则；遗漏规则、旁路调用和错误例外仍可能留下风险
替代品对比
| 方案 | 更适合谁 | 核心差异 | 需要注意 |
|---|---|---|---|
| SolonGate | 需要 Agent 工具执行策略与审计的团队 | 本地 OPA-WASM 策略、云控制台、可选 Judge | 云端参数日志与安全证明需尽调 |
| npm Sentinel MCP | 安装 npm 依赖前做风险检查的人 | 聚焦软件包风险信号 | 不代理所有工具调用 |
| Filesystem MCP | 需要受目录限制的文件工具 | 工具自身可限制文件范围 | 不是跨工具策略与审计平台 |
| MCP Use | 自建 MCP 客户端和运行时的开发者 | 便于自行实现连接与控制 | 安全策略和日志需要团队设计 |
常见问题 FAQ
SolonGate 是免费的吗？
官网没有清晰公开价格表，商业使用以联系销售为主。本条目不假设存在长期免费档。
SolonGate 是完全开源的吗？
不是。可确认的是 npm proxy 包采用 MIT；官网同时称完整产品“即将开源”，云控制台和服务应按专有产品评估。
每次调用都必须经过 AI Judge 吗？
不是。确定性策略可以本地执行；AI Judge 是 Local 部署处理模糊情况的可选层，启用与否应由风险和可解释性要求决定。
审计日志会记录敏感信息吗？
可能。官方页面说明审计可包含完整 arguments，因此必须测试脱敏、字段排除、访问控制、保留和删除。
它能彻底阻止提示注入吗？
不能保证。它能阻止策略明确禁止的动作，但无法弥补遗漏规则、未经过代理的调用或被错误放行的合法形式操作。
上线前应验证什么？
验证旁路路径、fail-closed 行为、策略更新与回滚、延迟、日志敏感字段、云端故障、分包商数据流和事件响应流程。
总结
SolonGate 的方向合理：把 Agent 安全控制落到执行层，并用本地规则对真实工具参数做允许或拒绝。采购判断不能停在“零信任”“防提示注入”这些标签上。先明确 MIT proxy 与专有云的边界，再用低权限环境验证策略和旁路；如果使用云审计，还要把完整参数、分包商、保留和安全证明作为合同重点。对极敏感工作流，Local 策略与可选 Judge 比默认上传完整审计参数更值得优先评估。