Argus: Open-Source-Sicherheitslayer überwacht Datenverkehr zu KI-Modellen
Was Apps an KI-Modelle senden und von ihnen empfangen, wird meist niemandem kontrolliert. Das Open-Source-Tool Argus will diese Lücke schließen und sensiblen Datenverkehr zu externen Modellen überwachen.
Deine App kommuniziert mit KI-Modellen. Wer ueberwacht eigentlich, was hineingeschickt und herauskommen kommt?
Letzte Woche habe ich in einer Demo beobachtet, wie ein AWS-Secret-Key durch einen Prompt an ein Drittanbieter-Modell durchrutschte. Niemand hat es bemerkt. Genau in diesem Moment hoerte ich auf, KI-Sicherheit als einfachen Checklistenpunkt zu betrachten, und baute Argus, eine Open-Source-Sicherheitsschicht, die sich vor jedes Modell setzt, das man aufruft.
Aktuell rufen die meisten Apps Modelle so auf: App → API-Key → Modell. Dazwischen liegt nichts. Das bedeutet:
Gateways wie LiteLLM loesen Routing und Budgets. Fuer die Sicherheit dazwischen ist niemand zustaendig. Genau diese Luecke schliesst Argus.
Argus ist ein OpenAI-kompatibles Gateway. Man zeigt die App mit einer einzigen Aenderung der base_url darauf, und jede Anfrage durchlaeuft eine Sicherheitsrichtlinie, auf dem Weg hinein wie auf dem Weg hinaus, bevor irgendein Modell sie sieht. OpenAI, Anthropic, Bedrock, vLLM, Ollama, alles mit einem OpenAI-foermigen Endpoint.
pip install argus-gateway argus # serves on localhost:4000 Enter fullscreen mode Exit fullscreen mode import openai client = openai. OpenAI ( api_key = " <your-virtual-key> ", base_url = " http://localhost:4000/v1 " ) Enter fullscreen mode Exit fullscreen mode Die Sicherheitsmechanik Vier austauschbare Detektoren scannen jede Anfrage und jede Antwort. Detektoren finden; eine Policy-Engine entscheidet, ob erlaubt, anonymisiert, blockiert oder markiert wird:
Jede Entscheidung landet in einem Audit-Log mit Zeitstempel, Key, Detektor, Aktion und einem anonymisierten Ausschnitt. Rohe personenbezogene Daten und Secrets beruehren den Pfad nie. Das ist die Compliance-Geschichte: GET /admin/audit.
So sieht ein blockiertes Secret in der Praxis aus:
POST /v1/chat/completions {"messages": [{"role": "user", "content": "my aws key is AKIA..."}]} → 400 blocked by security policy: secrets:AWS_KEY Enter fullscreen mode Exit fullscreen mode Und jede erfolgreiche Antwort verrichtet, was die Schicht getan hat:
"gateway": { "security": { "redactions": [ "pii:EMAIL" ], "flags": []}, "cost_usd": 0.000004, "tier": "small", "degraded": false } Enter fullscreen mode Exit fullscreen mode Kostenintelligenz faehrt mit Sicherheit mit. Sicherheit ist das Produkt, aber das Gateway denkt auch ueber Geld nach, denn genau die Schicht, die jede Anfrage sieht, ist der richtige Ort, um sie zu bepreisen:
Das geht aus meiner frueheren Arbeit an tokenecon und dem dahinterstehenden Paper hervor.
Es ist noch frueh, v0.1.0, MIT-lizenziert, und ich haette lieber jetzt Menschen, die hineinstechen:
Auf der Roadmap stehen Streaming, Adapter fuer Bedrock/Gemini/Mistral, semantisches Caching, OpenTelemetry-Export und ein ML-basierter Injection-Detektor (das Detektor-Interface ist austauschbar, Beitraege sind willkommen).
Wenn man sich jemals gefragt hat, was die eigenen Prompts tatsaechlich nach draussen tragen, sollte man Argus fuer einen Tag auf den eigenen Traffic richten und das Audit-Log pruefen. Man wird womoeglich ueberrascht sein. Ich war es.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
Your app talks to AI models. Who's watching what goes in and out?
Last week I watched an AWS secret key sail through a prompt to a third-party model in a demo. Nobody noticed. That's when I stopped treating AI security as a checklist item and built Argus — an open-source security layer that sits in front of every model you call.
Right now, most apps call models like this: app → API key → model. There's nothing in between. So:
Gateways like LiteLLM solve routing and budgets. Nobody owns the security in between. That's the gap Argus fills.
Argus is an OpenAI-compatible gateway. You point your app at it with one base_url change, and every request passes through a security policy — on the way in and on the way out — before any model sees it. OpenAI, Anthropic, Bedrock, vLLM, Ollama, anything with an OpenAI-shaped endpoint.
pip install argus-gateway argus # serves on localhost:4000 Enter fullscreen mode Exit fullscreen mode import openai client = openai. OpenAI ( api_key = " <your-virtual-key> ", base_url = " http://localhost:4000/v1 " ) Enter fullscreen mode Exit fullscreen mode The security machinery Four pluggable detectors scan every request and response. Detectors find; a policy engine decides — allow, redact, block, or flag:
Every decision lands in an audit log — timestamp, key, detector, action, and a redacted snippet. Raw PII and secrets never touch the trail. That's your compliance story: GET /admin/audit.
Here's what a blocked secret looks like in practice:
POST /v1/chat/completions {"messages": [{"role": "user", "content": "my aws key is AKIA..."}]} → 400 blocked by security policy: secrets:AWS_KEY Enter fullscreen mode Exit fullscreen mode And every successful response tells you what the layer did:
"gateway": { "security": { "redactions": [ "pii:EMAIL" ], "flags": []}, "cost_usd": 0.000004, "tier": "small", "degraded": false } Enter fullscreen mode Exit fullscreen mode Cost intelligence rides along Security is the product, but the gateway also thinks about money — because the same layer that sees every request is the right place to price it:
This comes from my earlier work on tokenecon and the paper behind it.
It's early — v0.1.0, MIT licensed, and I'd rather have people poke holes in it now:
On the roadmap: streaming, Bedrock/Gemini/Mistral adapters, semantic caching, OpenTelemetry export, and an ML-based injection detector (the detector interface is pluggable — contributions welcome).
If you've ever wondered what your prompts actually carry out the door — point Argus at your traffic for a day and check the audit log. You might be surprised. I was.