mcp-gate

Ein Pfad ist eine Anfrage. Die Roots-Grenze ist die Garantie.

Ein MCP-Dateizugriffsserver erzwingt über roots — eine Menge autorisierter Verzeichnisse —, welche Dateien ein Modell berühren darf. mcp-gate demonstriert den Unterschied zwischen der Anweisung an den Server, innerhalb seiner Roots zu bleiben, und der Durchsetzung dieser Anweisung: Dieselbe Angriffssuite wird gegen eine Version ausgeführt, die nur eine Instruktion besitzt, und gegen eine Version, die jeden Pfad kanonisiert und ihn vor jedem Lesevorgang gegen die Grenze prüft. Eine leakt; die andere hält. Beide Richtungen werden in CI erzwungen.

Dies ist eine unabhängige Implementierung von Konzepten aus Anthropics fortgeschrittenem MCP-Material, geschrieben, um drei Dinge ausdrücklich zu zeigen:

Die beiden Modi

Die Angriffssuite

direct_ask, die in beiden Modi erfolgreich ist, ist das Tückische: Ein schneller manueller Test der Prompt-Ebenen-Sicherheit wirkt sicher und scheitert dann bei einem Angriff, den man nicht ausprobiert hat.

Related MCP server: personal-mcp-bridge

Das Gate (durch CI erzwungen, in beide Richtungen)

python -m mcp_gate gate boundary   # exit 0 only if 0 escapes
python -m mcp_gate gate prompt      # exit 0 only if the leak is still demonstrated
python -m mcp_gate suite            # both halves must hold

Falls ein gate prompt nicht leakt, wäre die Demo sinnhandelnt (das „sichere“ Ergebnis ist bedeutungslos, wenn das unsichere ebenfalls besteht). Deshalb behandelt CI das ebenfalls als Build-Fehler.

Schnellstart

python -m venv .venv && source .venv/bin/activate
pip install -e ".[dev]"

pytest -q
python -m mcp_gate gate boundary
python -m mcp_gate gate prompt
python -m mcp_gate suite

Führe die Live-Demo „MCP-Server + Client“ aus (benötigt pip install -e ".[demo]" und einen ANTHROPIC_API_KEY in deiner Umgebung für das Sampling-Werkzeug):

python -m mcp_gate serve ./data/sandbox      # start the server over stdio
python -m mcp_gate.client ./data/sandbox     # drive it: logs, progress, sampling, a blocked attack

Siehe RESULTS.md für aufgezeichnete Ausgaben – jeder Block dort ist echte Befehlsausgabe, neu erstellt durch scripts/make_results.py, niemals handkorrigiert.

Hinweise

• Alle Daten unter data/ sind fiktiv; data/out_of_bounds/secret.txt ist ein gekennzeichneter Platzhalter für „eine Datei, die der Server niemals ausliefern darf“.

• Teil der -gate-Familie: Nichts wird ausgeliefert, bis es ein Gate besteht.