AI Extensions : des réglages MCP plus sûrs ne remplacent pas des permissions étroites

AI EXTENSIONS · 30 SEP 2026

Le choix du jour relie deux frontières : le client transportant les requêtes MCP et le serveur agissant sur les dépôts. Les deux projets sont maintenus, mais la popularité du SDK ou la lecture seule ne rendent pas le texte reçu fiable. C’est une revue des sources, pas un test d’installation ni un classement.

MCP Python SDK : transport et autorisation

Le SDK Python officiel fournit clients et serveurs MCP. La dernière version enregistrée est v2.2.0, publiée le 7 septembre, pas aujourd’hui. Ses notes limitent les redirections HTTP à l’origine du point de connexion, sauf passage HTTP vers HTTPS sur le même hôte ; une autre origine échoue plutôt que déplacer silencieusement la connexion. La vérification OAuth issuer s’étend à la découverte ancienne. Les sessions Streamable HTTP anciennes avec état expirent après 30 minutes d’inactivité, avec un plafond de 10 000 sessions ; les connexions sans état et 2026-07-28 ne sont pas concernées par cette expiration. Ces réglages ciblés ne garantissent pas l’absence de fuite ou de déni de service. Les notes indiquent aussi les lacunes tasks extension, DPoP et jwt-bearer. Le README propose uv add "mcp[cli]" ou pip install "mcp[cli]". Installer mcp choisit 2.x ; rester sur v1 demande une borne <2. Figer et tester la version est ma recommandation, pas une preuve de compatibilité. Le LICENSE du code est MIT ; dépendances et services ont leurs propres conditions. Métadonnées GitHub vérifiées le 30 septembre : dernier push le 29 à 19:11:26 UTC, 24 440 étoiles et 3 991 forks. L’activité n’est ni une version stable ni un audit de sécurité.

python-sdk · v2.2.0 · LICENSE

GitHub MCP Server : une opération est un effet

Le serveur officiel GitHub expose des capacités de dépôt et de collaboration. La dernière version v1.12.2 du 16 septembre ajoute la modification d’un commentaire issue et des outils précis de suppression de réactions. Ce sont des écritures avec conséquences sociales et opérationnelles, pas simplement du contexte. Le README propose https://api.githubcopilot.com/mcp/ avec authentification gérée par le client, ou Docker/un binaire local. Localement, --read-only retire les outils d’écriture même demandés explicitement ; --toolsets restreint les groupes et --tools sélectionne des outils. Commencer par les lectures nécessaires et un identifiant à portée étroite sur un dépôt jetable. La lecture peut encore envoyer du code privé au contexte du modèle. Issues, commentaires et code peuvent porter des instructions hostiles : le résultat est une donnée, pas une permission. MIT ne donne pas de droit sur le contenu privé et ne règle pas les conditions du service hébergé. Métadonnées du 30 septembre : push le 30 à 06:14:08 UTC, 33 296 étoiles et 5 065 forks. L’attention ne prouve ni qualité, ni recommandation, ni sécurité.

github-mcp-server · v1.12.2 · LICENSE · server-configuration.md

Un petit test avant un accès large

Pour le SDK, utiliser un point local avec réponses synthétiques : redirection de même origine, autre origine, métadonnées indisponibles et session ancienne expirée. Vérifier les échecs plutôt qu’élargir les chemins pour sauver une démonstration. Pour GitHub, choisir un dépôt à vous avec fausses issues, sans secrets ni workflows de production. Énumérer les outils en lecture seule, demander un résumé inoffensif et vérifier que l’écriture manque ou est bloquée. Refaire après un changement de configuration. Le schéma est un plan de test original, pas une déclaration de tests exécutés. Masquer les identifiants dans les logs, figer les versions et examiner les dépendances. Garder l’accord humain hors du texte reçu. Aucun paquet, conteneur ou serveur n’a été installé ou exécuté pour cette revue.

Analyse : choisir la frontière, pas les étoiles

Mon critère est une frontière visible et testable : origine et issuer pour le transport, portée et exclusion des écritures pour les opérations. Cela ne prouve pas que le modèle connaît le propriétaire du dépôt ou l’autorité de l’auteur d’un commentaire. Moins d’outils réduit les capacités sans authentifier le texte. Mieux vaut un échec documenté qu’un accès élargi en silence. Chiffres et dates permettent d’examiner la maintenance, pas d’inventer un classement des plus « chauds ». Aucune croissance de trafic ou de téléchargements n’a été vérifiée.

Sources vérifiées le 30 septembre 2026. Versions et comptes sont un instantané, pas un classement. MIT vérifié dans les LICENSE originaux. Aucune installation pratique.

Choisissez la frontière, pas le nombre d’étoiles.