MCP-серверы
Он работает на вашей машине с вашими правами, как любой пакет. В отличие от пакета, описания его инструментов попадают в контекст модели, где читаются как инструкции. Безопасность MCP-сервера должна закрывать обе половины.
Ничего экзотического. Всё это следует из того, как устроен протокол, и из того, где люди держат свои ключи.
tool poisoning
Имя инструмента, его описание и схема параметров уходят в модель обычным текстом. Сервер может написать описание, которое велит модели прочитать файл и передать его содержимое аргументом, и отличить это от законной инструкции модель не в состоянии.
передача ключа
Локальные MCP-серверы работают по stdio дочерними процессами. Они получают то окружение, которое вы им передали, а это обычно означает долгоживущий токен в переменной. С этого момента ключ уже не в ваших руках.
дрейф схемы
Описания и схемы инструментов могут поменяться на следующем обновлении. Сервер, который вы смотрели в марте, не обязательно тот же, что работает в июне, и ничто в протоколе не делает эту смену заметной.
область токена
Удалённые серверы хранят access-токены от вашего имени. Сервер, который принимает или пересылает токен, выданный для другого ресурса, превращается в удобного посредника для доступа к тому, что вы никогда не разрешали.
нет записи
В большинстве конфигураций нигде не записано, какой MCP-инструмент запускался, с какими аргументами и против какого хоста. Проблема всплывает по чужому расписанию, обычно в счёте или в уведомлении об утечке.
Общее здесь такое: описания инструментов читает модель, а ключ лежит там, где сервер до него дотянется. Почините вторую половину, и первой станет нечем поживиться.
Локальные и удалённые MCP-серверы аутентифицируются совершенно по-разному, и эта разница весит больше, чем можно подумать по инструкциям по установке.
Шага аутентификации нет вообще. Сервер - это дочерний процесс, который вы сами запустили, и доверия он заслуживает ровно столько же, сколько окружение, с которым вы его запустили. Токен, который вы экспортировали, теперь и его токен тоже.
доверие = ваше окружение
Профиль авторизации MCP построен на OAuth 2.1: клиент находит сервер авторизации, вы подтверждаете доступ в браузере, а клиент держит короткоживущий access-токен и refresh-токен за ним.
доверие = область токена
Ничего из этого не требует продукта. Это тот же разбор, который вы устроили бы любой зависимости, плюс два вопроса, специфичных для MCP.
Ставьте конкретную версию, а не то, во что сегодня разворачивается latest. Сервер, который обновляет сам себя, может поменять описания инструментов после того, как вы их одобрили.
README написан для вас. Описания написаны для модели. Прочитайте те, что модель действительно получит.
Stdio-сервер - это дочерний процесс с вашими правами. Дайте ему самый узкий ключ, которого хватит для работы, и уж точно не рутовый токен, который просто оказался под рукой.
Отзываемый короткоживущий токен лучше, чем personal access token в переменной окружения, даже если настройка займёт на пять минут больше.
Один ресурс, один адресат. Сервер, которому нужен широкий токен или который принимает токен, выданный для другого, уже сообщает вам, как он себя поведёт.
Собрать пять сервисов за одним MCP-сервером значит свести все ключи в один процесс. Разнесите их, и худший случай станет меньше.
Если вы не можете сказать, что сервер делал в прошлый вторник, вы ему доверяете, а не проверяете его. Логи - это то, что превращает инцидент в инцидент с известными границами.
Относитесь к смене схемы инструмента как к подъёму версии зависимости: смотрите дифф. Эту проверку почти никто не делает, поэтому она и работает как атака.
Sallyport встаёт перед теми MCP-серверами, с которыми говорит ваш агент. Их вызовы поднимаются по той же лестнице, что и всё остальное, и попадают в тот же журнал.
01
Claude Code, Cursor или любой MCP-клиент подключается к Sallyport. Sallyport показывает http.request, ssh.exec и те внешние серверы, которые вы настроили.
02
Проксируются и локальные stdio-серверы, и удалённые серверы с OAuth 2.1. Sallyport запечатывает их токены в хранилище и обновляет внутри приложения.
03
Закрытое хранилище отказывает. Ключ с подтверждением каждого вызова поднимает карточку. В остальных случаях запуск покрывает то подтверждение сессии, которое вы уже дали.
04
Зашифровано и связано хешами прямо по ходу дела, чтобы ответ на вопрос «что этот сервер делал в прошлый вторник» существовал раньше, чем он вам понадобится.
Честное ограничение: локальный stdio-сервер MCP, который вы настроили сами, получает привязанный к нему ключ. Проксирование даёт подтверждение и запись по его вызовам; забрать ключ обратно из процесса, который вы решили запустить, оно не может.
Бесплатная загрузка. Apple Silicon, macOS 14 или новее. Аккаунт не нужен. Никогда.
brew install --cask olegsotnikov/tap/sallyportmacOS 14+ · Apple Silicon