sql-guard-mcp

Read-only SQL für KI-Agenten, mit mehrschichtigen Sicherheitsvorkehrungen.

Einem LLM-Agenten rohen Datenbankzugriff zu gewähren, ist ein Eigentor. Dieser MCP-Server öffnet Agenten eine SQLite-Datenbank über vier unabhängige Schutzschichten, sodass das Schlimmste, was ein Agent tun kann, zu langsames Lesen ist – und selbst das wird unterbunden.

한국어 문서: README.ko.md

Schutzschichten

Das Designprinzip stammt aus der Entwicklung von Entscheidungsschutzmechanismen für einen Produktions-LLM-Agenten: Vertraue nicht darauf, dass das Modell vorsichtig ist – mache Nachlässigkeit unmöglich und sorge dafür, dass jede Ablehnungsmeldung dem Agenten sagt, was er stattdessen tun soll.

Related MCP server: sqlite-analyst

Werkzeuge

• sql_list_tables — sichtbare Tabellen (Whitelist angewendet)

• sql_describe_table — Spalten, Typen, Zeilenanzahl

• sql_query — geschützte schreibgeschützte Abfrage

• sql_guard_status — aktuelle Schutz-Konfiguration (Transparenz für Debugging)

Demo

Verbunden mit Claude Desktop, Abfrage der gebündelten Demo-Datenbank für Werbekampagnen – und Ablehnung einer Lösch-Anfrage:

Der Agent erkundet und aggregiert frei („Welche aktive Kampagne hat die beste CTR?“), aber wenn er aufgefordert wird, die Tabelle campaigns zu löschen, lehnt der Schutz dies ab und der Agent erklärt warum – schreibgeschützt von Design, im Code erzwungen, nicht durch Prompt.

Einrichtung

Keine Abhängigkeiten außer dem MCP SDK – eine synthetische Demo-Datenbank für Werbekampagnen ist gebündelt und wird beim ersten Start automatisch erstellt.

pip install -e .

# optional configuration
export SQLGUARD_DB="/path/to/your.db"                      # default: bundled demo
export SQLGUARD_ALLOWED_TABLES="campaigns,daily_stats"     # default: all tables
export SQLGUARD_MAX_ROWS="200"

Claude Desktop

{
  "mcpServers": {
    "sql-guard-mcp": {
      "command": "sql-guard-mcp",
      "env": { "SQLGUARD_ALLOWED_TABLES": "campaigns,daily_stats" }
    }
  }
}

Dann frag: „Welche aktive Kampagne hatte letzte Woche die beste CTR?“ – der Agent erkundet das Schema und führt Abfragen innerhalb der Schutzvorkehrungen aus. Versuch, ihn zu bitten, etwas zu löschen; lies die Ablehnung.

Test

pip install -e ".[dev]"
pytest   # guard validation + execution enforcement, no external DB needed

Die Tests umfassen die adversarischen Fälle: gestapelte Anweisungen, mit SELECT präfixierte Schreibvorgänge, Whitelist-Umgehung über JOIN, Versuche, das vom Benutzer angegebene LIMIT zu überschreiben, und ein außer Kontrolle geratener kartesischer Join, der vom VM-Schritt-Watchdog abgebrochen wird.

Lizenz

MIT