secure-browser-mcp

에이전트에게 비밀값을 노출하지 않고 브라우저에 비밀값을 채워 넣는 MCP 서버입니다.

에이전트는 비밀값 자체가 아니라 비밀값 참조만 볼 수 있습니다. 비밀값은 Turnkey Secrets에 저장됩니다. 서버는 비밀값을 내보내고 자체 메모리에서 복호화한 뒤 CDP를 통해 페이지에 입력합니다. 이 값은 대화, 대화 기록, 모델 컨텍스트에 절대 유입되지 않습니다.

API를 통해 프록시할 수 없는 비밀값, 즉 웹 폼에 입력되는 비밀번호, 카드 번호, SSN을 다룹니다.

상태: 스캐폴드. 인터페이스, 도구 표면, 보안 경계는 마련되어 있습니다. 대부분의 핸들러는 not_implemented를 반환합니다. 전체 설계는 docs/DESIGN.md에서, 이 프로젝트가 방어하는 것과 방어하지 않는 것은 docs/THREAT-MODEL.md에서 확인할 수 있습니다.

작동 방식

1. 에이전트가 list_secret_refs를 호출하여 ID, 이름, 대상 바인딩을 받습니다. 값은 포함되지 않습니다.

2. 에이전트는 navigate, snapshot, click, type_text로 브라우저를 제어합니다.

3. 에이전트가 fill_secret(secret_id, element_uid)를 호출합니다.

4. 서버는 페이지를 비밀값의 대상 바인딩과 대조합니다. 바인딩은 가져오기(import) 시점에 Turnkey 정적 속성을 통해 설정되며 변경할 수 없습니다.

5. 서버는 Turnkey에서 비밀값을 내보내고(임시 P-256 키, HPKE), CDP를 통해 필드에 입력한 뒤 값을 폐기합니다.

6. 모든 도구 결과는 에이전트에게 도달하기 전에 redaction 레이어를 통과합니다. 스냅샷, 네트워크 로그, 스크린샷에는 입력된 값이 절대 표시되지 않습니다.

evaluate_script 도구는 없습니다. 이는 보안상의 결정이지 누락이 아닙니다.

Related MCP server: PhantomAuth

빠른 시작

bun install
bun run typecheck
bun run dev          # starts the MCP server on stdio (mock secrets backend)

도구 표면을 확인하세요:

bunx @modelcontextprotocol/inspector bun src/index.ts

서버는 Turnkey 자격 증명이 구성될 때까지 인메모리 mock 백엔드를 사용합니다. 실제 백엔드는 @turnkey/sdk-server 위의 얇은 어댑터입니다(importSecret / exportSecret / getSecrets, tkhq/sdk#1479에서 병합됨).

배포되지 않은 SDK 코드에 대한 의존성

Secrets API 메서드는 tkhq/sdk 메인 브랜치에는 있지만 아직 npm에는 없습니다. vendor/ 디렉터리에는 로컬 ../sdk 체크아웃에서 패킹한 타르볼이 들어 있으며, package.json의 overrides를 통해 고정됩니다. @turnkey/sdk-server@8.3.0이 출시되면 vendor 타르볼과 overrides를 제거하세요.

타르볼을 다시 생성하려면:

cd ../sdk && pnpm install && pnpm turbo build --filter=@turnkey/sdk-server --filter=@turnkey/crypto
cd packages/<pkg> && pnpm pack --out ../../../secure-browser-mcp/vendor/turnkey-<pkg>.tgz

레이아웃