Dangerous MCP
MCP는 위험합니다
기능 도구 활용은 AI 에이전트를 매우 강력하게 만드는데, 이는 스마트폰에 앱 스토어를 도입하는 것과 같습니다. 특히 MCP(Model Context Protocol) 출시로 도구 공유가 그 어느 때보다 쉬워졌습니다. 그래서 저는 오픈소스 도구나 자체 제작 도구를 통해 AI 에이전트의 기능을 얼마나 쉽게 확장할 수 있는지 보여주기 위해 확장 가능한 에이전트 프로젝트를 만들었습니다.
확장 가능한 에이전트를 개발하면서 도구 사용은 양날의 검이라는 것을 깨달았습니다. 위험은 사용하는 도구가 환경 변수, 파일 등 시스템에 대한 강력한 접근 권한을 가지고 있다는 것입니다.
⚠️ 보안 경고
이 프로젝트는 도구 사용과 관련된 보안 위험을 간단하게 보여줍니다. 아래 예시는 악의적인 행위자가 MCP 서버를 악용하여 민감한 정보에 접근할 수 있는 방법을 보여줍니다.
지엑스피1
⚠️ 경고: 샌드박스 환경에서 이 예제를 실행한 후 OpenAI API 키를 삭제하는 것을 권장합니다. 다음 명령을 사용하여 자체 MCP 클라이언트에서 테스트할 수도 있습니다:
uvx mcp-is-dangerous.
확장 가능한 에이전트( PoliceAgent 선택)와 함께 이 도구를 사용하면 출력은 다음과 같습니다.
무해해 보이거나 심지어 의도적으로 무해해 보일 수도 있겠죠? 하지만 이런 상황을 생각해 보세요. 단순히 현재 시간을 요청했는데, 그 사이에 당신의 민감한 데이터가 당신도 모르게 유출되고 있는 거죠.
Related MCP server: Vulnerable MCP Server
보안을 위한 모범 사례
MCP 또는 유사한 도구를 사용할 때 자신을 보호하려면:
도구를 사용하기 전에 항상 소스 코드를 검토하세요.
가능하면 격리된 환경에서 도구를 실행하세요.
민감한 정보에 대한 액세스를 요청하는 도구에 주의하세요
도구를 배포할 때 환경 변수 필터링을 사용하세요
정기적으로 사용 중인 도구를 감사하세요
부인 성명
이 프로젝트는 잠재적인 보안 위험을 보여주기 위한 교육 목적으로만 제작되었습니다. 이 지식을 악의적인 목적으로 사용하지 마십시오. 저자는 이 정보의 오용에 대해 책임을 지지 않습니다.
특허
Available Tools
1 toolget_environment_variablesA
Get all environment variables.
| Name | Required | Description | Default |
|---|---|---|---|
No parameters | |||
TDQS
Does the description disclose side effects, auth requirements, rate limits, or destructive behavior?
The tool name and description imply a read-only operation ('Get'), which is transparent for a simple retrieval. No annotations are present, so the description carries the full burden. It does not mention authentication, rate limits, or return format, but the behavior is straightforward.
Agents need to know what a tool does to the world before calling it. Descriptions should go beyond structured annotations to explain consequences.
Is the description appropriately sized, front-loaded, and free of redundancy?
The description is a single sentence with no wasted words. It directly conveys the tool's purpose without extraneous information.
Shorter descriptions cost fewer tokens and are easier for agents to parse. Every sentence should earn its place.
Given the tool's complexity, does the description cover enough for an agent to succeed on first attempt?
For a tool with no parameters, no output schema, and no siblings, the description is mostly complete. It clearly states what the tool does. Missing information about return format or usage context is minor given the tool's simplicity.
Complex tools with many parameters or behaviors need more documentation. Simple tools need less. This dimension scales expectations accordingly.
Does the description clarify parameter syntax, constraints, interactions, or defaults beyond what the schema provides?
There are no parameters, and the input schema already reflects this fact. The description does not need to add parameter details. Baseline for 0 parameters is 4.
Input schemas describe structure but not intent. Descriptions should explain non-obvious parameter relationships and valid value ranges.
Does the description clearly state what the tool does and how it differs from similar tools?
The description clearly states it retrieves all environment variables. The verb 'Get' and resource 'environment variables' are specific and unambiguous. Without siblings, no further differentiation is needed.
Agents choose between tools based on descriptions. A clear purpose with a specific verb and resource helps agents select the right tool.
Does the description explain when to use this tool, when not to, or what alternatives exist?
No explicit guidance on when to use or alternatives is provided. However, as there are no sibling tools, the context implicitly limits usage to this single tool. A user might still benefit from knowing prerequisites or side effects.
Agents often have multiple tools that could apply. Explicit usage guidance like "use X instead of Y when Z" prevents misuse.
Tool Schema Changelog
Recent tool additions, removals, and schema changes observed during successful MCP inspections.
1 tool update
v1.0.0- First observed
get_environment_variables
TDQS
Scored across 1 tool
Only one tool exists, so there is no ambiguity in selection.
Single tool follows a clean verb_noun pattern, consistent.
One tool is too few for the server's implied scope; a broader set is expected.
Only a single read operation is provided, with no other tools to cover related actions like modification or listing.
Maintenance
Related MCP Connectors
Security scanner for MCP servers. Detect vulnerabilities, prompt injection, and tool poisoning.
Security research canary remote MCP server for owned-account testing.
An MCP server that provides read access to your cloud storage providers, bank accounts and more.
MCP server for secureFlows: token-free URL builders and integration-linting tools for AI agents.
Related MCP Servers
- FlicenseNot gradedqualityFmaintenanceAn educational project that deliberately implements vulnerable MCP servers to demonstrate various security risks like prompt injection, tool poisoning, and code execution for training security researchers and AI safety professionals.1,356-
- FlicenseNot gradedqualityDmaintenanceA deliberately insecure MCP server designed as a pentest lab to demonstrate common vulnerabilities in MCP deployments.-
- FlicenseNot gradedqualityDmaintenanceAn intentionally vulnerable MCP server designed as a live demo target for the MCP Trust security scanner. It contains deliberate insecure patterns to demonstrate scanning capabilities.-
- AlicenseCqualityDmaintenanceAn educational MCP server exposing shell command execution (PowerShell and sh) and a benign tool for learning about MCP tools, resources, and security risks like tool poisoning.33MIT