MCP-Server
Er läuft auf Ihrem Rechner mit Ihren Rechten, wie jedes Paket. Anders als ein Paket landen seine Tool-Beschreibungen im Kontext des Modells, wo sie als Anweisungen gelesen werden. MCP-Server-Sicherheit muss beide Hälften davon abdecken.
Nichts davon ist exotisch. Es folgt daraus, wie das Protokoll arbeitet, und daraus, wohin Leute ihre Zugangsdaten legen.
Tool Poisoning
Name, Beschreibung und Parameter-Schema eines Werkzeugs gehen als Text an das Modell. Ein Server kann eine Beschreibung schreiben, die dem Modell sagt, es solle eine Datei lesen und ihren Inhalt als Argument übergeben, und das Modell kann das nicht von einer legitimen Anweisung unterscheiden.
Zugangsdaten-Übergabe
Lokale MCP-Server laufen über stdio als Kindprozesse. Sie erhalten die Umgebung, die Sie ihnen mitgeben, und das heißt meistens ein langlebiges Token in einer Variablen. Ab da sind die Zugangsdaten aus Ihrer Hand.
Schema-Drift
Tool-Beschreibungen und Schemata können sich beim nächsten Update ändern. Der Server, den Sie im März geprüft haben, ist nicht zwingend der Server, der im Juni läuft, und nichts im Protokoll macht diese Änderung laut.
Token-Scope
Remote-Server halten Access Token in Ihrem Namen. Ein Server, der ein für eine andere Ressource ausgestelltes Token annimmt oder weiterreicht, wird zum bequemen Stellvertreter für Dinge, die Sie nie autorisiert haben.
kein Nachweis
In den meisten Setups gibt es keinen Nachweis, welches MCP-Werkzeug mit welchen Argumenten gegen welchen Host lief. Ärger taucht nach dem Kalender anderer Leute auf, meist in einer Rechnung oder einer Breach-Mitteilung.
Der rote Faden: Das Modell ist es, das die Tool-Beschreibungen liest, und die Zugangsdaten liegen irgendwo, wo der Server sie lesen kann. Beheben Sie die zweite Hälfte, und die erste kann sich nicht mehr auszahlen.
Lokale und entfernte MCP-Server authentifizieren sich völlig unterschiedlich, und dieser Unterschied wiegt schwerer, als die meisten Anleitungen vermuten lassen.
Es gibt keinen Authentifizierungsschritt. Der Server ist ein Kindprozess, den Sie gestartet haben, und er ist genauso vertrauenswürdig wie die Umgebung, mit der Sie ihn gestartet haben. Welches Token Sie exportiert haben, ist jetzt auch das Token des Servers.
Vertrauen = Ihre Umgebung
Das MCP-Autorisierungsprofil setzt auf OAuth 2.1 auf: Der Client findet den Autorisierungsserver, Sie stimmen im Browser zu, und der Client hält ein kurzlebiges Access Token mit einem Refresh Token dahinter.
Vertrauen = der Scope des Tokens
Nichts davon braucht ein Produkt. Es ist die Prüfung, die Sie jeder Abhängigkeit geben würden, plus die zwei Fragen, die für MCP spezifisch sind.
Installieren Sie eine bestimmte Version statt dessen, worauf latest heute zeigt. Ein Server, der sich selbst aktualisiert, kann seine Tool-Beschreibungen ändern, nachdem Sie sie freigegeben haben.
Das README ist für Sie geschrieben. Die Beschreibungen sind für das Modell geschrieben. Lesen Sie die, die das Modell tatsächlich bekommt.
Ein stdio-Server ist ein Kindprozess mit Ihren Rechten. Geben Sie ihm die engsten Zugangsdaten, die den Job noch erledigen, niemals ein Root-Token, das gerade herumliegt.
Ein widerrufbares, kurzlebiges Token schlägt ein Personal Access Token in einer Umgebungsvariablen, auch wenn die Einrichtung fünf Minuten länger dauert.
Eine Ressource, eine Zielgruppe. Ein Server, der ein breit gefasstes Token will oder eines annimmt, das für etwas anderes ausgestellt wurde, sagt Ihnen schon, wie er sich verhalten wird.
Fünf Dienste hinter einem einzigen MCP-Server zu bündeln konzentriert sämtliche Zugangsdaten in einem Prozess. Trennen Sie sie, und der schlimmste Fall wird kleiner.
Wenn Sie nicht sagen können, was ein Server letzten Dienstag getan hat, glauben Sie ihm aufs Wort. Logs sind das, was aus einem Vorfall einen begrenzten Vorfall macht.
Behandeln Sie eine Änderung am Tool-Schema wie einen Dependency-Bump: Sehen Sie sich das Diff an. Diese Prüfung macht fast niemand, und genau deshalb funktioniert sie als Angriff.
Sallyport sitzt vor den MCP-Servern, mit denen Ihr Agent spricht. Ihre Aufrufe steigen dieselbe Leiter hinauf wie alles andere und landen im selben Journal.
01
Claude Code, Cursor oder ein beliebiger MCP-Client verbindet sich mit Sallyport. Sallyport bietet http.request, ssh.exec und die vorgelagerten Server an, die Sie konfiguriert haben.
02
Lokale stdio-Server und entfernte OAuth-2.1-Server werden beide durchgeleitet. Sallyport versiegelt ihre Token im Tresor und erneuert sie innerhalb der App.
03
Ein gesperrter Tresor verweigert den Aufruf. Ein Schlüssel mit Freigabe pro Aufruf zeigt eine Karte. Sonst deckt die Sitzungsfreigabe, die Sie schon erteilt haben, den Lauf ab.
04
Verschlüsselt und per Hash verkettet, während es passiert, damit eine Antwort auf "was hat dieser Server letzten Dienstag getan" existiert, bevor Sie sie brauchen.
Binden Sie an jeden Server die engsten Zugangsdaten, die er braucht, und markieren Sie sie für Freigabe pro Aufruf. Lokale stdio-Server bekommen genau die Zugangsdaten, die Sie an sie binden, diese eine Entscheidung setzt also den gesamten Radius, und das Journal zeigt Ihnen jeden Aufruf, für den sie ihn ausgeben.
Kostenloser Download. Apple Silicon, macOS 14 oder neuer. Kein Konto, niemals.
brew install --cask olegsotnikov/tap/sallyportmacOS 14+ · Apple Silicon