Skip to main content
Glama
ShaojieJiang

Dangerous MCP

by ShaojieJiang

MCP는 위험합니다

기능 도구 활용은 AI 에이전트를 매우 강력하게 만드는데, 이는 스마트폰에 앱 스토어를 도입하는 것과 같습니다. 특히 MCP(Model Context Protocol) 출시로 도구 공유가 그 어느 때보다 쉬워졌습니다. 그래서 저는 오픈소스 도구나 자체 제작 도구를 통해 AI 에이전트의 기능을 얼마나 쉽게 확장할 수 있는지 보여주기 위해 확장 가능한 에이전트 프로젝트를 만들었습니다.

확장 가능한 에이전트를 개발하면서 도구 사용은 양날의 검이라는 것을 깨달았습니다. 위험은 사용하는 도구가 환경 변수, 파일 등 시스템에 대한 강력한 접근 권한을 가지고 있다는 것입니다.

⚠️ 보안 경고

이 프로젝트는 도구 사용과 관련된 보안 위험을 간단하게 보여줍니다. 아래 예시는 악의적인 행위자가 MCP 서버를 악용하여 민감한 정보에 접근할 수 있는 방법을 보여줍니다.

지엑스피1

⚠️ 경고: 샌드박스 환경에서 이 예제를 실행한 후 OpenAI API 키를 삭제하는 것을 권장합니다. 다음 명령을 사용하여 자체 MCP 클라이언트에서 테스트할 수도 있습니다: uvx mcp-is-dangerous .

확장 가능한 에이전트( PoliceAgent 선택)와 함께 이 도구를 사용하면 출력은 다음과 같습니다.

무해해 보이거나 심지어 의도적으로 무해해 보일 수도 있겠죠? 하지만 이런 상황을 생각해 보세요. 단순히 현재 시간을 요청했는데, 그 사이에 당신의 민감한 데이터가 당신도 모르게 유출되고 있는 거죠.

Related MCP server: Vulnerable MCP Server

보안을 위한 모범 사례

MCP 또는 유사한 도구를 사용할 때 자신을 보호하려면:

  1. 도구를 사용하기 전에 항상 소스 코드를 검토하세요.

  2. 가능하면 격리된 환경에서 도구를 실행하세요.

  3. 민감한 정보에 대한 액세스를 요청하는 도구에 주의하세요

  4. 도구를 배포할 때 환경 변수 필터링을 사용하세요

  5. 정기적으로 사용 중인 도구를 감사하세요

부인 성명

이 프로젝트는 잠재적인 보안 위험을 보여주기 위한 교육 목적으로만 제작되었습니다. 이 지식을 악의적인 목적으로 사용하지 마십시오. 저자는 이 정보의 오용에 대해 책임을 지지 않습니다.

특허

MIT 라이센스

Available Tools

1 tool
get_environment_variablesA

Get all environment variables.

ParametersJSON Schema
NameRequiredDescriptionDefault

No parameters

TDQS

A4/5.0
Behavior3/5

Does the description disclose side effects, auth requirements, rate limits, or destructive behavior?

The tool name and description imply a read-only operation ('Get'), which is transparent for a simple retrieval. No annotations are present, so the description carries the full burden. It does not mention authentication, rate limits, or return format, but the behavior is straightforward.

Agents need to know what a tool does to the world before calling it. Descriptions should go beyond structured annotations to explain consequences.

Conciseness5/5

Is the description appropriately sized, front-loaded, and free of redundancy?

The description is a single sentence with no wasted words. It directly conveys the tool's purpose without extraneous information.

Shorter descriptions cost fewer tokens and are easier for agents to parse. Every sentence should earn its place.

Completeness4/5

Given the tool's complexity, does the description cover enough for an agent to succeed on first attempt?

For a tool with no parameters, no output schema, and no siblings, the description is mostly complete. It clearly states what the tool does. Missing information about return format or usage context is minor given the tool's simplicity.

Complex tools with many parameters or behaviors need more documentation. Simple tools need less. This dimension scales expectations accordingly.

Parameters4/5

Does the description clarify parameter syntax, constraints, interactions, or defaults beyond what the schema provides?

There are no parameters, and the input schema already reflects this fact. The description does not need to add parameter details. Baseline for 0 parameters is 4.

Input schemas describe structure but not intent. Descriptions should explain non-obvious parameter relationships and valid value ranges.

Purpose5/5

Does the description clearly state what the tool does and how it differs from similar tools?

The description clearly states it retrieves all environment variables. The verb 'Get' and resource 'environment variables' are specific and unambiguous. Without siblings, no further differentiation is needed.

Agents choose between tools based on descriptions. A clear purpose with a specific verb and resource helps agents select the right tool.

Usage Guidelines3/5

Does the description explain when to use this tool, when not to, or what alternatives exist?

No explicit guidance on when to use or alternatives is provided. However, as there are no sibling tools, the context implicitly limits usage to this single tool. A user might still benefit from knowing prerequisites or side effects.

Agents often have multiple tools that could apply. Explicit usage guidance like "use X instead of Y when Z" prevents misuse.

Tool Schema Changelog

Recent tool additions, removals, and schema changes observed during successful MCP inspections.

  1. 1 tool updatev1.0.0
    • First observedget_environment_variables

TDQS

A3.8/5.0

Scored across 1 tool

Disambiguation5/5

Only one tool exists, so there is no ambiguity in selection.

Naming Consistency5/5

Single tool follows a clean verb_noun pattern, consistent.

Tool Count2/5

One tool is too few for the server's implied scope; a broader set is expected.

Completeness1/5

Only a single read operation is provided, with no other tools to cover related actions like modification or listing.

Maintenance

ActivityInactive
ResponsivenessNo issues

Related MCP Connectors

Related MCP Servers

  • F
    license
    Not graded
    quality
    D
    maintenance
    An intentionally vulnerable MCP server designed as a live demo target for the MCP Trust security scanner. It contains deliberate insecure patterns to demonstrate scanning capabilities.
    -