MCP सर्वर
यह आपकी मशीन पर आपके अधिकारों के साथ चलता है, किसी भी पैकेज की तरह। पैकेज से अलग बात यह है कि इसके टूल विवरण मॉडल के संदर्भ में जा गिरते हैं, जहाँ वे निर्देश की तरह पढ़े जाते हैं। MCP सर्वर की सुरक्षा को इन दोनों हिस्सों का हिसाब रखना पड़ता है।
इनमें से कोई भी अनोखा नहीं है। ये सब इस बात से निकलते हैं कि प्रोटोकॉल कैसे काम करता है, और लोग अपने क्रेडेंशियल कहाँ रखते हैं।
टूल पॉइज़निंग
किसी टूल का नाम, विवरण और पैरामीटर schema मॉडल तक टेक्स्ट के रूप में जाते हैं। सर्वर ऐसा विवरण लिख सकता है जो मॉडल से कहे कि कोई फ़ाइल पढ़कर उसकी सामग्री तर्क के रूप में भेज दे, और मॉडल के पास इसे किसी वैध निर्देश से अलग पहचानने का कोई तरीक़ा नहीं।
क्रेडेंशियल का हस्तांतरण
लोकल MCP सर्वर stdio पर चाइल्ड प्रोसेस के रूप में चलते हैं। उन्हें वही एनवायरनमेंट मिलता है जो आप देते हैं, और उसका मतलब आम तौर पर किसी वेरिएबल में एक लंबे समय तक चलने वाला टोकन होता है। उसके बाद क्रेडेंशियल आपके हाथ से निकल चुका है।
schema का खिसकना
अगले अपडेट में टूल विवरण और schema बदल सकते हैं। मार्च में जिस सर्वर की आपने समीक्षा की थी, ज़रूरी नहीं कि जून में वही चल रहा हो, और प्रोटोकॉल में ऐसा कुछ नहीं जो इस बदलाव को शोर बना दे।
टोकन का दायरा
रिमोट सर्वर आपकी ओर से एक्सेस टोकन रखते हैं। जो सर्वर किसी दूसरे संसाधन के लिए जारी टोकन स्वीकार या आगे भेज देता है, वह उन चीज़ों तक पहुँचने का सुविधाजनक ज़रिया बन जाता है जिनकी आपने कभी अनुमति नहीं दी।
कोई रिकॉर्ड नहीं
ज़्यादातर सेटअप में इसका कोई रिकॉर्ड नहीं होता कि कौन-सा MCP टूल चला, किन तर्कों के साथ, किस होस्ट के विरुद्ध। मुसीबत किसी और के कैलेंडर पर सामने आती है, आम तौर पर किसी बिल में या किसी ब्रीच नोटिस में।
साझा सूत्र यह है: टूल विवरण पढ़ता मॉडल है, और क्रेडेंशियल वहीं पड़ा है जहाँ सर्वर उसे पढ़ सकता है। दूसरा हिस्सा ठीक कर दीजिए, पहला हिस्सा भुनाया ही नहीं जा सकेगा।
लोकल और रिमोट MCP सर्वर बिल्कुल अलग तरीक़ों से प्रमाणित होते हैं, और यह फ़र्क़ ज़्यादातर सेटअप गाइड जितना बताती हैं उससे कहीं ज़्यादा मायने रखता है।
प्रमाणीकरण जैसा कोई चरण है ही नहीं। सर्वर वह चाइल्ड प्रोसेस है जिसे आपने चलाया, और वह उतना ही भरोसेमंद है जितना वह एनवायरनमेंट जिसके साथ आपने उसे शुरू किया। आपने जो टोकन एक्सपोर्ट किया, अब वह सर्वर का टोकन भी है।
भरोसा = आपका एनवायरनमेंट
MCP की ऑथराइज़ेशन प्रोफ़ाइल OAuth 2.1 पर बनी है: क्लाइंट ऑथराइज़ेशन सर्वर खोजता है, आप ब्राउज़र में सहमति देते हैं, और क्लाइंट के पास एक अल्पकालिक एक्सेस टोकन रहता है जिसके पीछे एक रिफ़्रेश टोकन होता है।
भरोसा = टोकन का दायरा
इनमें से किसी के लिए किसी प्रोडक्ट की ज़रूरत नहीं। यह वही समीक्षा है जो आप किसी भी डिपेंडेंसी की करते, और साथ में दो सवाल जो ख़ास MCP के हैं।
latest आज जिस पर जाकर रुके, उसकी जगह कोई निश्चित वर्शन इंस्टॉल करें। ख़ुद को अपडेट करने वाला सर्वर, आपकी मंज़ूरी के बाद अपने टूल विवरण बदल सकता है।
README आपके लिए लिखा गया है। विवरण मॉडल के लिए लिखे गए हैं। वही पढ़िए जो मॉडल को असल में मिलेंगे।
stdio सर्वर आपके अधिकारों वाला एक चाइल्ड प्रोसेस है। उसे वह सबसे संकरा क्रेडेंशियल दीजिए जिससे काम चल जाए, कभी वह रूट टोकन नहीं जो बस पास में पड़ा था।
रद्द किया जा सकने वाला अल्पकालिक टोकन, एनवायरनमेंट वेरिएबल में पड़े पर्सनल एक्सेस टोकन से बेहतर है, भले सेटअप में पाँच मिनट ज़्यादा लगें।
एक संसाधन, एक पाने वाला। जो सर्वर चौड़े दायरे वाला टोकन माँगता है, या किसी और के लिए जारी टोकन स्वीकार कर लेता है, वह आपको पहले ही बता रहा है कि वह कैसा बर्ताव करेगा।
पाँच सेवाओं को एक ही MCP सर्वर के पीछे जोड़ देना, सारे क्रेडेंशियल एक प्रोसेस में समेट देता है। उन्हें अलग कीजिए, और सबसे बुरी सूरत छोटी हो जाएगी।
अगर आप नहीं बता सकते कि किसी सर्वर ने पिछले मंगलवार क्या किया, तो आप उस पर भरोसा कर रहे हैं, उसे जाँच नहीं रहे। लॉग ही वह चीज़ है जो एक घटना को सीमित घटना में बदलती है।
टूल schema के बदलाव को डिपेंडेंसी बंप की तरह लीजिए: diff देखिए। यही वह जाँच है जो लगभग कोई नहीं करता, और ठीक इसीलिए यह हमले के रूप में काम कर जाती है।
आपका एजेंट जिन MCP सर्वरों से बात करता है, Sallyport उनके आगे बैठ जाता है। उनकी कॉल्स बाक़ी सब की तरह उसी सीढ़ी पर चढ़ती हैं और उसी जर्नल में उतरती हैं।
01
Claude Code, Cursor या कोई भी MCP क्लाइंट Sallyport से जुड़ता है। Sallyport उसे http.request, ssh.exec और वे अपस्ट्रीम सर्वर देता है जो आपने कॉन्फ़िगर किए।
02
लोकल stdio सर्वर और रिमोट OAuth 2.1 सर्वर, दोनों प्रॉक्सी होते हैं। Sallyport उनके टोकन वॉल्ट में सील करता है और रिफ़्रेश ऐप के भीतर करता है।
03
बंद वॉल्ट कॉल को अस्वीकार कर देता है। हर कॉल पर मंज़ूरी के लिए चिह्नित की एक कार्ड उठाती है। बाक़ी हालात में, जो सेशन मंज़ूरी आप पहले ही दे चुके हैं वही रन को कवर करती है।
04
जैसे-जैसे होता है वैसे-वैसे एन्क्रिप्टेड और हैश-चेन, ताकि "उस सर्वर ने पिछले मंगलवार क्या किया" का जवाब ज़रूरत पड़ने से पहले मौजूद हो।
एक ईमानदार सीमा: आपका कॉन्फ़िगर किया हुआ लोकल stdio MCP सर्वर वह क्रेडेंशियल पाता ज़रूर है जो आपने उससे बाँधा है। प्रॉक्सी करने से आपको उसकी कॉल्स पर मंज़ूरी और रिकॉर्ड मिलते हैं; जिस प्रोसेस को आपने ख़ुद शुरू करना चुना, उससे चाबी वापस नहीं निकलती।
मुफ़्त डाउनलोड। Apple Silicon, macOS 14 या नया। कोई खाता नहीं, कभी नहीं।
brew install --cask olegsotnikov/tap/sallyportmacOS 14+ · Apple Silicon