Infrabroker

Name: Infrabroker
Author: luisgf

โดย luisgfรุ่น 3.1.3i★ –iรันบนเครื่อง

ชื่อใน registryio.github.luisgf/infrabroker

ติดตั้ง

ภาพรวม

คำอธิบายจากผู้ทำ (ภาษาอังกฤษตามต้นฉบับ)

SSH & Kubernetes access broker for AI agents; the model never touches a credential.

สามเสาของ PopNx MCP

สามเรื่องนี้ไม่รวมเป็นคะแนนเดียว เพราะความเห็น การวัด และความนิยม เป็นคนละเรื่องกัน

เสียงผู้ใช้iยังไม่มีรีวิวรีวิวเปิดพร้อมระบบบัญชีในขั้นถัดไป
ผลตรวจเบื้องต้นของเราiผ่าน 1 จาก 1 ข้อตรวจจากข้อมูลที่เปิดอยู่ ยังไม่ได้สแกนโค้ด
การใช้งานiยังไม่ได้วัด★ –

ใช้ทำอะไรได้

ตัวนี้ยังไม่ได้เรียบเรียงเป็นภาษาไทย ด้านล่างคือข้อเท็จจริงที่เราอ่านจาก registry

การเชื่อมต่อ: รันบนเครื่อง
ช่องทาง (transport): stdio
หมวด: เครื่องมือนักพัฒนา

ติดตั้ง

เลือกโปรแกรม AI ที่คุณใช้ แล้วคัดลอกค่าตั้งไปวาง

ก่อนติดตั้ง

ผลตรวจเบื้องต้น: ผ่าน 1 จาก 1 ข้อ
รันในเครื่องคุณด้วยสิทธิ์ของผู้ใช้คุณ (ไฟล์ อินเทอร์เน็ต แอปต่าง ๆ)
ทะเบียนไม่ได้ระบุ key ที่ต้องใส่

ต้องเตรียมก่อน

Dockerติดตั้ง Docker ในเครื่อง

คุณใช้แอปไหน

ClaudeClaude CodeCursorVS CodeChatGPT

เลือกแอปด้านบน เราจำไว้ให้ ครั้งหน้าปุ่มจะขึ้นว่า “ติดตั้งลง …”

เปิด Claude Desktop → Settings → Developer → Edit Config แล้ววางค่านี้ในไฟล์ claude_desktop_config.json

{
  "mcpServers": {
    "infrabroker": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "ghcr.io/luisgf/infrabroker:3.1.3",
        "-config",
        "ใส่ค่าของคุณ"
      ]
    }
  }
}

พิมพ์คำสั่งนี้ใน Terminal

claude mcp add infrabroker -- docker run -i --rm ghcr.io/luisgf/infrabroker:3.1.3 -config 'ใส่ค่าของคุณ'

ตัวนี้ต้องใส่ค่าในคำสั่งเปิดเอง ให้คัดลอกค่าตั้งแล้วเติมค่า

หรือคัดลอกค่าตั้งเอง

วางในไฟล์ .cursor/mcp.json ของโปรเจกต์ หรือ ~/.cursor/mcp.json

{
  "mcpServers": {
    "infrabroker": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "ghcr.io/luisgf/infrabroker:3.1.3",
        "-config",
        "ใส่ค่าของคุณ"
      ]
    }
  }
}

เบราว์เซอร์จะถามก่อนเปิดแอป จากนั้นแอปแสดงค่าตั้งให้ตรวจแล้วกดยืนยัน ช่อง key เว้นว่างไว้ให้คุณใส่เอง

ตัวนี้ต้องใส่ค่าในคำสั่งเปิดเอง ให้คัดลอกค่าตั้งแล้วเติมค่า

หรือคัดลอกค่าตั้งเอง

วางในไฟล์ .vscode/mcp.json ของโปรเจกต์

{
  "servers": {
    "infrabroker": {
      "type": "stdio",
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "ghcr.io/luisgf/infrabroker:3.1.3",
        "-config",
        "ใส่ค่าของคุณ"
      ]
    }
  }
}

ตัวนี้รันในเครื่องคุณ แต่ ChatGPT ต่อได้เฉพาะ server บนอินเทอร์เน็ต ลองเลือกแอปอื่น

ตัวเลือกเก็บในคุกกี้บนเครื่องนี้ ไม่ต้องมีบัญชี

ค่าตั้งนี้สร้างจากข้อมูลใน registry ของผู้ทำ ถ้าไม่ตรงกับ README ให้เชื่อ README

ทำอะไรได้บ้าง

รันในเครื่องคุณ รายการเครื่องมือจะขึ้นในแอป AI หลังติดตั้ง

ผลตรวจเบื้องต้นi

เราตรวจจากข้อมูลที่ใครก็เปิดดูได้ ยังไม่ได้อ่านโค้ด ข้อที่ไม่เกี่ยวกับตัวนี้ไม่นับในตัวหาร · ตรวจเมื่อ 7 พ.ย. 2569

✓ ผ่าน
ตัวตนผู้ทำตรงกับ repo
ชื่อใน registry ยืนยันด้วยบัญชี GitHub luisgf ซึ่งเป็นเจ้าของ repo
… ยังไม่ตรวจ
ยังมีคนดูแล
ยังไม่ได้อ่านข้อมูล repo จาก GitHub
… ยังไม่ตรวจ
มีสัญญาอนุญาต (license)
ยังไม่ได้อ่านข้อมูล repo จาก GitHub
– ไม่เกี่ยว
endpoint ตอบ
ตัวนี้รันบนเครื่องคุณ ไม่มี endpoint บนอินเทอร์เน็ต
– ไม่เกี่ยว
ล็อกอินแบบ OAuth
ตัวนี้รันบนเครื่อง ใช้ค่าที่ตั้งในเครื่องแทน
… ยังไม่ตรวจ
คำอธิบายเครื่องมือไม่มีคำสั่งแอบแฝง
รันในเครื่องคุณ เราอ่านรายการเครื่องมือได้เฉพาะตัวที่มี endpoint บนอินเทอร์เน็ต

เทียบกับตัวอื่นในหมวด เครื่องมือนักพัฒนาi

ดาวมากกว่า 0% ของอีก 1395 ตัวในหมวดนี้
ส่งรุ่นใหม่เข้า registry ล่าสุดกว่า 49% ของอีก 1395 ตัวในหมวดนี้
ผลตรวจเบื้องต้นดีกว่าหรือเท่ากับ 100% ของอีก 1395 ตัวในหมวดนี้

เทียบกับทุก server ที่ยังใช้งานในหมวดนี้ทั้งทะเบียน ดาวนับเฉพาะเมื่อผู้ลงทะเบียนเป็นเจ้าของ repo

คำถามที่พบบ่อย

Infrabroker ปลอดภัยไหม?

จากการตรวจเบื้องต้นของเรา ผ่าน 1 จาก 1 ข้อที่ตรวจได้ เรายังไม่ได้อ่านโค้ด ก่อนใส่กุญแจหรือ token ให้ดูว่า server ขอสิทธิ์อะไร และเลือกกุญแจที่ทำได้เท่าที่จำเป็น

ต้องใช้กุญแจหรือรหัสอะไรบ้าง?

registry ไม่ได้ระบุว่าต้องใช้กุญแจ แต่บางตัวจะขอให้ล็อกอินตอนใช้ครั้งแรก

ตัวนี้รันบนเครื่องหรือบนคลาวด์?

รันบนเครื่องของคุณ โปรแกรม AI จะเปิด server ขึ้นมาเองเมื่อใช้ ข้อมูลไม่ต้องผ่านเซิร์ฟเวอร์ของผู้ทำ (ยกเว้นตัวที่ไปเรียกบริการออนไลน์ต่อ)

ยังมีคนดูแลอยู่ไหม?

repo บน GitHub มีการแก้โค้ดล่าสุด – และส่งรุ่นล่าสุด (3.1.3) เข้า registry 2 เดือนที่ผ่านมา

ใช้กับโปรแกรมไหนได้บ้าง?

โปรแกรมที่รองรับ MCP เช่น Claude Desktop, Claude Code, Cursor และ VS Code ตัวนี้ต้องมี Docker ในเครื่องด้วย

มีตัวไหนใช้แทนได้บ้าง?

ในหมวดเดียวกันมี GitHub, Desktop Commander, Cloudflare MCP

ตัวที่ใช้แทนได้

server หมวดเดียวกันจากผู้ทำคนอื่น เรียงตามดาว

อ่านการ์ด:★ ดาว GitHubiสามเสา: รีวิว · ผลตรวจ · การใช้งานiอัปเดต = วันที่ส่งรุ่นล่าสุดเข้า registryi

GitHub

โดย github

server ทางการของ GitHub ให้ AI อ่านและจัดการโค้ด issue และ pull request ในบัญชีของคุณได้ ใช้ผ่านคลาวด์ของ GitHub หรือรันในเครื่องด้วย Docker ก็ได้

บนเครื่องหรือคลาวด์★ 34,245MITอัปเดต 4 วันที่ผ่านมา

ติดตั้ง

Desktop Commander

โดย wonderwhy-er

MCP server for terminal commands, file operations, and process management

รันบนเครื่อง★ 10,225MITอัปเดต 16 วันที่ผ่านมา

ติดตั้ง

Cloudflare MCP

โดย cloudflare

Cloudflare MCP servers

รันบนคลาวด์★ 4,446Apache-2.0อัปเดต 14 เดือนที่ผ่านมา

ติดตั้ง

README จากผู้ทำ

เปิดอ่าน README

ส่วนนี้คัดจาก repo ของผู้ทำตามต้นฉบับ PopNx MCP ไม่ได้ตรวจหรือรับรองเนื้อหา ตัด HTML รูปภาพ และสคริปต์ออกแล้ว ลิงก์จะพาออกนอกเว็บ

infrabroker

Infrastructure access broker for AI agents — SSH & Kubernetes. The model never touches a credential. *(formerly ssh-broker)*

The agent requests an *action* — run a command on a host, query or change a cluster. infrabroker checks it against policy, executes it with a credential minted for that single operation — an ephemeral, scope-limited SSH certificate from its own CA, or a short-lived bound ServiceAccount token — and returns only the output. Keys, certificates and tokens live in the broker's memory and are discarded after the call: nothing enters the model's context, so a prompt-injected agent has nothing to exfiltrate.

One binary — infrabroker — exposes the same engine (internal/broker) and tool surface (internal/mcpserver) over three transports, chosen by subcommand. (The legacy per-transport binaries broker / mcp-broker / mcp-broker-http remain as thin deprecated wrappers over these subcommands, so existing configs keep working.)

MCP stdio (local, recommended for personal use) — infrabroker serve-mcp. Tools: ssh_execute, ssh_session_open / ssh_session_exec / ssh_session_close, ssh_list_servers, ssh_put_file / ssh_get_file; with clusters configured, also k8s_get / k8s_list / k8s_logs / k8s_apply / k8s_delete / k8s_list_clusters. No transport auth — isolation comes from the process being launched by the user (as the MCP spec recommends for stdio).
MCP HTTP + OAuth2/OIDC (remote, multi-user) — infrabroker serve-mcp-http, Streamable HTTP. Same tools, but each client authenticates with an OIDC bearer token validated locally against the issuer's JWKS; the user identity (and groups, for per-user RBAC) is propagated to the signer.
HTTP + mTLS — infrabroker serve-http, POST /v1/ssh_run (one-shot), for network agents authenticated with a client certificate.

Documentation

This README is a landing page. The detail lives in focused, single-source docs:

Document	Contents
QUICKSTART.md	First `ssh_execute` in under 10 minutes — single-binary local mode, no signer/PKI
ARCHITECTURE.md	Diagram, request flow, design decisions, sudo elevation, sessions, multi-CA
THREAT_MODEL.md	Actors, trust boundaries, security controls, and explicit non-goals/gaps
OPERATIONS.md	Runbook: startup, adding hosts, hot-reload, `broker-ctl`, PKI rotation, configs
MESH.md	Running infrabroker over a NetBird / Tailscale mesh — the session layer on top of the overlay path
SANDBOX.md	infrabroker with a sandboxed agent (ASP): the agent's code in a microVM, the credential and the action behind the broker — what each layer enforces, the OIDC recipe, the honest limits
HA.md	Why it is single-instance today: state inventory, the blockers, and what degrades under replication
API.md	HTTP endpoint reference for all services
USAGE.md	Guide to the MCP tools (SSH + Kubernetes), dry-run, and audit review (for the model / operator)
SECURITY.md	Vulnerability disclosure policy
CONTRIBUTING.md · CODING_STYLE.md	Workflow, versioning, Go style

Why infrabroker

Anti-exfiltration (prompt injection): the ephemeral key/cert/token live only in the broker's memory; they never enter the model's context.
Kubernetes without kubeconfigs: the signer mints a short-lived bound ServiceAccount token (TokenRequest API) per operation; every cluster is default-deny with per-verb/resource/namespace policy and the same dry-run, approval and audit path as SSH.
Anti-reuse: each cert carries a TTL of minutes, source-address (broker or bastion IP), and — for one-shot — a force-command. Useless outside its host/time/IP.
Controlled escalation: allow_sudo / allowed_sudo_users live in the signer; a compromised broker cannot escalate where policy forbids it.
CA compromise bounded: one CA per host group (ca_keys), each key optionally in Azure Key Vault or ssh-agent (YubiKey PIV / SoftHSM / TPM) — the private key never leaves the HSM.
Audit / non-repudiation: append-only, Ed25519-chained log correlated by serial across signer, broker, and sshd.

The full threat model — including what the system deliberately does not defend — is in THREAT_MODEL.md.

How it works

AI model ──tool call──> broker ──mTLS──> [control-plane] ──mTLS──> signer

(no credential) (ephemeral key (approval + (CA key + in RAM, never guardrails, policy + RBAC, on disk) no CA key) signs the cert) │ └── SSH with the ephemeral cert ──> bastion ──> target host └─ stdout/stderr/exit_code ─> model

The broker sends an *intent* ({host, role, purpose, command?, sudo?, pty?, pubkey, …}); the signer derives every certificate constraint from policy and returns the signed cert. The ephemeral private key is generated in the broker and never leaves it. See ARCHITECTURE.md for the request flow, the design decisions, and the per-hop ProxyJump certificate diagrams.

Feature overview

Capability	One-liner	More
Ephemeral certificates	Ed25519 pair in RAM per operation; minutes-long, scoped cert. No reusable secret.	ARCHITECTURE
External signer	A separate `cmd/signer` holds the CA key and policy; the broker never does.	ARCHITECTURE
Multi-CA + HSM	One CA key per host group via `ca_keys`; local PEM, Azure Key Vault, or ssh-agent/HSM.	ARCHITECTURE
AI-action firewall	Per-host or composable-by-group command policy (allow/deny/`require_approval`), POSIX-sh AST parsing, dry-run. Authoritative for one-shot.	ARCHITECTURE · USAGE
Human-in-the-loop approval	Optional control plane gates `require_approval` commands behind out-of-band approval; the signer enforces it.	ARCHITECTURE · API
Action budgets (behaviour guardrails)	Budget how much an agent can do: per-CN sign-rate cap plus per-subject rate limit and novelty escalation (a subsequent new host / novel command → approval); observe or enforce. Network tools budget what an agent can reach or spend; this budgets the actions themselves.	OPERATIONS · ARCHITECTURE
Kill switch	Freeze a subject (caller CN, end user, session id or certificate serial): no new certificates, grants revoked, and live sessions are force-closed within `revocation_poll_seconds`.	OPERATIONS
Sealed exec	Opt-in per host (`sealed_exec`): every session command carries a signer-signed envelope that `infrabroker-shim` verifies on the target, so per-command authorization survives a compromised broker.	THREAT_MODEL gap 1 · deploy
Approval bridge	`approval-bridge` posts pending approvals to Slack (Socket Mode) with Allow / Deny buttons; outbound-only, so nothing with approval authority becomes internet-facing.	OPERATIONS
Secret redaction	On by default: credentials inline in commands are masked in audit logs, session recordings and approval notifications (best-effort pattern matching, not DLP).	THREAT_MODEL gap 8
RBAC	Broker-CN groups (mTLS) + per-end-user OIDC groups; fail-closed.	ARCHITECTURE
sudo / PTY	Policy-gated elevation (`sudo -n`) and PTY allocation, per host.	ARCHITECTURE
Kubernetes broker	`k8s_*` tools with per-operation bound SA tokens, default-deny verb/resource/namespace policy, dry-run.	USAGE §10
Session recording	`shell`/`pty` sessions to ASCIIcast v2 (`.cast`), indexed by `session_id`.	USAGE §8
Chained audit	Append-only, Ed25519-signed, SHA-256-chained; correlated by `serial`.	USAGE §7 · API
Hot reload	`signer.json` re-read (and validated) without restart, via `POST /v1/reload` or SIGHUP.	OPERATIONS §3

Comparison with existing solutions

Several tools address SSH access control or AI-agent credential security, but none cover the full combination that infrabroker targets in a lightweight, self-hosted package.

Feature	infrabroker	Teleport	Vault + SSH engine	StrongDM	ssh-mcp
Ephemeral cert in memory (no disk)	✅	✅	✅	❌	❌
Separate broker / signing service	✅	✅	Partial	❌	❌
MCP-native (AI agents)	✅	✅ (2025)	✅ (2025)	❌	✅
OAuth2/OIDC on MCP transport	✅	✅	✅	❌	❌
Per-command policy + dry-run (AI-action firewall)	✅	❌	❌	❌	❌
Human-in-the-loop approval for AI commands	✅	❌	❌	❌	❌
Per-agent behavioral guardrails (anomaly/rate)	✅	❌	❌	❌	❌
Session recording (ASCIIcast v2, stdin+stdout+stderr)	✅	✅	❌	Partial	❌
Cryptographically chained audit log	✅	❌	❌	Partial	❌
Single-binary / simple self-hosted	✅	❌	❌	❌	✅
HSM/KMS for CA key	✅ (AKV, ssh-agent/HSM)	✅	✅	—	—

[Teleport](https://goteleport.com/) is the closest commercial equivalent — short-lived SSH certs, RBAC, and since 2025 *Secure MCP*; its Jan-2026 *Agentic Identity Framework* targets the same threat model. The difference is operational weight: Teleport needs a dedicated control-plane cluster, recording proxy, and web UI — orders of magnitude heavier than a Go binary + signer.

[HashiCorp Vault SSH secrets engine](https://developer.hashicorp.com/vault/docs/secrets/ssh) is an SSH CA with full HSM/KMS support and (2025) its own MCP server, but it provides only the *signing* piece — you still build the execution layer (engine.go, session.go, the MCP tools) yourself.

[StrongDM](https://www.strongdm.com/) hides credentials but stores long-lived secrets rather than generating ephemeral certs in memory, making it weaker against exfiltration. [Smallstep SSH CA](https://smallstep.com/) is a lightweight OIDC-integrated SSH CA (close to cmd/signer) with no execution broker or MCP layer. **[ssh-mcp](https://

ตัดมาแค่ช่วงต้น อ่านต่อใน repo

Infrabroker

ภาพรวม

สามเสาของ PopNx MCP

ใช้ทำอะไรได้

ติดตั้ง

ก่อนติดตั้ง

ทำอะไรได้บ้าง

ผลตรวจเบื้องต้นi

ตัวตนผู้ทำตรงกับ repo

ยังมีคนดูแล

มีสัญญาอนุญาต (license)

endpoint ตอบ

ล็อกอินแบบ OAuth

คำอธิบายเครื่องมือไม่มีคำสั่งแอบแฝง

เทียบกับตัวอื่นในหมวด เครื่องมือนักพัฒนาi

คำถามที่พบบ่อย

ตัวที่ใช้แทนได้

GitHub

Desktop Commander

Cloudflare MCP

README จากผู้ทำ

infrabroker

Documentation

Why infrabroker

How it works

Feature overview

Comparison with existing solutions