secure-browser-mcp

エージェントにシークレットを見せずにブラウザへ入力するMCPサーバー。

エージェントが見るのは、シークレットの値ではなく、シークレットの参照です。シークレットは Turnkey Secrets に格納されています。サーバーはシークレットをエクスポートし、自身のメモリ内で復号し、CDP 経由でページに入力します。その値が会話、トランスクリプト、モデルコンテキストのいずれにも入ることはありません。

対象となるのは、API 経由でプロキシできないシークレット、つまり Web フォームに入力されるパスワード、カード番号、SSN です。

ステータス: スキャフォールド。 インターフェース、ツールサーフェス、セキュリティ境界は整備されています。ほとんどのハンドラーは not_implemented を返します。完全な設計については docs/DESIGN.md を、防御の対象とその対象外については docs/THREAT-MODEL.md を参照してください。

仕組み

1. エージェントは list_secret_refs を呼び出し、ID、名前、宛先バインディングを取得します。値は取得しません。

2. エージェントは navigate、snapshot、click、type_text を使ってブラウザを操作します。

3. エージェントは fill_secret(secret_id, element_uid) を呼び出します。

4. サーバーはページをシークレットの宛先バインディングと照合します。バインディングはインポート時に Turnkey の静的プロパティを通じて設定され、変更できません。

5. サーバーは Turnkey からシークレットをエクスポートし（一時的な P-256 鍵、HPKE）、CDP 経由でフィールドに入力して、値を破棄します。

6. すべてのツール結果は、エージェントに到達する前にリダクションレイヤーを通過します。スナップショット、ネットワークログ、スクリーンショットは、入力された値をエコーすることはありません。

evaluate_script ツールはありません。これはセキュリティ上の決定であり、欠落ではありません。

Related MCP server: PhantomAuth

クイックスタート

bun install
bun run typecheck
bun run dev          # starts the MCP server on stdio (mock secrets backend)

ツールサーフェスを確認します:

bunx @modelcontextprotocol/inspector bun src/index.ts

Turnkey の資格情報が設定されるまで、サーバーはインメモリのモックバックエンドを使用します。実際のバックエンドは、@turnkey/sdk-server に対する薄いアダプターです（importSecret / exportSecret / getSecrets、tkhq/sdk#1479 でマージされました）。

未公開のSDKコードへの依存

Secrets API のメソッドは tkhq/sdk の main ブランチにはありますが、npm にはまだ公開されていません。vendor/ ディレクトリには、ローカルの ../sdk チェックアウトからパックされた tarball が置かれており、package.json の overrides によって固定されています。@turnkey/sdk-server@8.3.0 がリリースされたら、vendor/ 内の tarball と overrides を削除してください。

tarball を再生成するには:

cd ../sdk && pnpm install && pnpm turbo build --filter=@turnkey/sdk-server --filter=@turnkey/crypto
cd packages/<pkg> && pnpm pack --out ../../../secure-browser-mcp/vendor/turnkey-<pkg>.tgz

レイアウト