MCP Server Attestation
Hardening de supply-chain Layer-2 para servidores MCP
Manifests de tools firmados con Ed25519, atestación de spawn en runtime, sanitizador de argumentos default-deny. Defiende contra marketplace-poisoning y CVE-2025-69256.
Qué problema resuelve
En abril de 2026 un estudio sobre envenenamiento de mercados encontró que nueve de once registros MCP aceptaron un servidor malicioso, y la postura publicada al respecto fue que es comportamiento esperado. Dos CVE de la misma época muestran lo que cuesta en la práctica: ejecución remota de código por inyección de comandos en un framework, y un secuestro de arranque de procesos mediante un servidor instalado por OAuth en un editor. Nada en el protocolo demuestra qué herramientas puede exponer un servidor ni qué procesos puede lanzar.
Cómo funciona
Un manifiesto firmado declara qué herramientas expone un servidor y qué llamadas de arranque puede hacer, y la biblioteca lo verifica con firmas Ed25519 contra un almacén de confianza al primer contacto. Al lado hay una herramienta de línea de comandos que genera claves, firma, verifica, inspecciona, imprime una huella y comprueba una fijación. Es una dependencia que añades, no un runtime que sustituyes.
Cuándo usarlo
Firma tus propios servidores para que quien los use pueda fijarlos, y verifica los que instalas para que un cambio silencioso en la lista de herramientas se vuelva visible. La fijación es la parte que se paga más tarde: convierte un cambio en la cadena de suministro en algo que falla a gritos en vez de algo que nunca ves.
Cuándo no usarlo
Una firma dice quién publicó algo, no que sea bueno. Un servidor firmado puede estar mal escrito o ser hostil igualmente, y la confianza al primer contacto significa exactamente eso: el primer contacto se acepta por fe y solo se detectan los cambios posteriores. Para defensa en ejecución en vez de procedencia, mcp-armor es la pieza que se sienta en el tráfico.
Stars
★ 0
installs
↓ 828
Clones (14d)
⊟ 226
Lenguaje
TypeScript
Actualizado
2026-08-21
Instalación
npx -y mcp-server-attestation