Agent Gate

Agent Gate 是给 AI 生成 PR 用的 deterministic CI firewall，规则执行时不 checkout PR 代码、不调用 LLM、不执行仓库脚本，也不从 PR head 加载策略。README 中它会检查 out-of-contract edits、workflow permission escalation、agent control-plane drift、missing test evidence 和 MCP config drift；示例 fixture 会把 GitHub Actions `contents` 权限从 read 到 write 的升级标成 BLOCKED。这个项目的看点是把 agent PR 的安全约束做成可复放的 CI 事实，而不是把判断外包给另一个模型。