MCP Server Attestation
Layer-2 Supply-Chain-Hardening für MCP-Server
Ed25519-signierte Tool-Manifests, Runtime-Spawn-Attestation, Default-Deny-Argument-Sanitizer. Verteidigt gegen Marketplace-Poisoning und CVE-2025-69256.
Welches Problem es löst
Im April 2026 fand eine Untersuchung zur Marktplatz-Vergiftung, dass neun von elf MCP-Registries einen bösartigen Server annahmen, und die veröffentlichte Haltung dazu war, das sei erwartetes Verhalten. Zwei CVEs aus derselben Zeit zeigen, was das praktisch kostet: Codeausführung über eine Befehlseinschleusung in einem Rahmenwerk, und eine gekaperte Prozessstartung über einen per OAuth installierten Server in einem Editor. Nichts im Protokoll belegt, welche Werkzeuge ein Server zeigen und welche Prozesse er starten darf.
Wie es arbeitet
Ein signiertes Manifest sagt, welche Werkzeuge ein Server zeigt und welche Prozessstarts er machen darf, und die Bibliothek prüft das mit Ed25519-Signaturen gegen einen Speicher nach dem Vertrauen-beim-ersten-Kontakt-Prinzip. Daneben steht ein Kommandozeilen-Werkzeug, das Schlüssel erzeugt, signiert, prüft, hineinsieht, einen Fingerabdruck ausgibt und eine Festlegung kontrolliert. Es ist eine Abhängigkeit, die du dazunimmst, keine Laufzeit, die du ersetzt.
Wann du es nimmst
Signiere deine eigenen Server, damit ein Nutzer sie festnageln kann, und prüfe die, die du installierst, damit eine stille Änderung der Werkzeugliste sichtbar wird. Das Festnageln ist der Teil, der sich später auszahlt: es macht aus einer Änderung in der Lieferkette etwas, das laut scheitert, statt etwas, das du nie siehst.
Wann du es nicht nimmst
Eine Signatur sagt, wer etwas veröffentlicht hat, nicht ob es gut ist. Ein signierter Server kann trotzdem schlecht geschrieben oder feindlich sein, und Vertrauen beim ersten Kontakt heißt genau das: der erste Kontakt wird geglaubt, gefangen werden erst die Änderungen danach. Für Laufzeit-Verteidigung statt Herkunft ist mcp-armor das Stück, das im Verkehr sitzt.
Stars
★ 0
installs
↓ 811
Clones (14d)
⊟ 226
Sprache
TypeScript
Aktualisiert
2026-08-21
Installation
npx -y mcp-server-attestation