MCP RCE Guard
Layer-3-RCE-Verteidigung für MCP-Server via Policy-Synthese
Foundation-Pillar 9. Schließt die Tool-Injection-RCE-Klasse die Sidecar-Scanner (mcp-armor) und stdio-Wrapper (mcp-stdio-shellguard) nicht abdecken. Synthetisiert Per-Tool-Policies aus deklarierten Semantiken und erzwingt sie zur Laufzeit. MIT, TypeScript.
Welches Problem es löst
Ein MCP-Server, der einen Unterprozess startet, gibt in dem Moment alles weiter, was der Hauptprozess darf. Es gibt keinen üblichen Weg aufzuschreiben, was dieser Unterprozess lesen, schreiben, starten oder ansprechen darf, also schreibt es in der Praxis niemand auf. Diese Bibliothek gibt dem eine getypte, geprüfte Form.
Wie es arbeitet
Es gibt Isolations-Beschreibungen für die drei Plattformen aus, die welche haben: landlock-Profile für Linux ab 5.13, sandbox-exec-Scheme-Profile für macOS und cgroups-v2-Angaben für Speicher, Prozesszahl und CPU. Daneben stehen Verhaltens-Prädikate, die einen Unterprozess-Befehl auf die Form bekannter RCE-Lücken absuchen, darunter die MCP-SDK-Lücke vom April 2026, CVE-2026-27124, der Nginx-MCP-Fall und Auswertungsstellen wie node -e oder python -c. Genauer Wortabgleich hält harmlose Startschalter aus den Funden heraus. Der Netzausgang ist grundsätzlich gesperrt, mit Platzhaltern, exakten Treffern, Endungen und Ports, und jede Isolations-Entscheidung wandert in ein NDJSON-Protokoll, an das nur angehängt wird.
Wann du es nimmst
Nimm es, wenn du die Wirtsseite baust und eine wiederholbare Beschreibung willst, was ein Unterprozess darf, dazu einen Prüfer, der bekannte Lückenformen erkennt, bevor du ausrollst. Die Kanarienvogel-Token sind die andere Hälfte: einen ausgeben und dann in Ausgabe, Dateischreibvorgängen und Netzverkehr darauf warten, dass er wieder auftaucht.
Wann du es nicht nimmst
Die README ist da deutlich, und diese Seite ist es auch: Fassung 0.1 gibt Beschreibungen aus, sie wendet sie nicht an. Hier passiert kein einziger Systemaufruf, es hält also von sich aus keinen feindlichen Unterprozess an der Kerngrenze auf. Der Wirt muss eine Beschreibung in den Plattformaufruf übersetzen, und der Helfer, der das tut, ist die Lieferung 0.2. Das Prüfprotokoll ist vorerst außerdem unsigniert.
Stars
★ 0
installs
↓ 440
Clones (14d)
⊟ 25
Sprache
TypeScript
Aktualisiert
2026-08-21
Installation
npx -y mcp-rce-guard