AI Extensions, 4 ноября: где MCP Inspector хранит секреты

Отладчик MCP может запустить локальный сервер и сохранить токены удаленного сервиса. Поэтому MCP Inspector сам требует проверки доступа. Выпуск AI Extensions за 4 ноября посвящен версии 2.13.0, ограниченным CLI-проверкам и выбору хранилища секретов.

Это обзор документации и кода, без установки пакета и выполнения атак. Версия 2.13.0 опубликована 28 октября. Недавнее сопровождение и популярность не доказывают качество. Для выбора важнее наблюдаемое поведение с синтетическими данными.

Соединение еще не вызов инструмента

Репозиторий включает web, CLI и терминальный интерфейс, а также экспериментальный mcpdo. Интерактивная работа и CI требуют разных правил хранения и входа. При stdio Inspector запускает выбранную команду: это локальное выполнение кода с правами пользователя. HTTP устраняет именно этот запуск, но сохраняет сетевой доступ и возможные OAuth-токены.

Руководство smoke-тестов различает initialize, tools/list и вызов инструмента. Первый выполняет handshake без вызова, второй показывает инструменты. Успешное соединение не доказывает правильность результата или разрешений. Для первой пробы нужен проверенный сервер с фиктивными данными и ограниченное время соединения.

Версия пакета и Node проверяются отдельно

Примечания к 2.13.0 рекомендуют npm-пользователям Node 22.23.4, 24.22.1 или 26.12.1 и новее. Inspector использует установленный у пользователя Node; обновление пакета не обновляет среду. Поле engines допускает более старый 22.x, поэтому успешная установка не подтверждает наличие исправлений.

В примере руководства осталась фиксация 2.5.0. Ее нельзя копировать как актуальную рекомендацию безопасности. Бюллетень DNS rebinding относит 2.0.0–2.11.0 к затронутым версиям и называет 2.12.0 исправленной. Проверенная 2.13.0 следует за ней. Для воспроизводимого CI следует фиксировать проверенный выпуск, сохранять код ошибки и проверять поля JSON. Не отключайте аутентификацию ради зеленого результата.

Куда попадут секреты

Руководство хранения описывает явный выбор keyring, file или memory через MCP_INSPECTOR_SECRET_STORE. Без выбора проверяется системное хранилище. Если оно недоступно, контейнер без тома для секретов использует память, остальные резервные случаи используют файл.

На сервере без рабочего Secret Service возможен ~/.mcp-inspector/secrets.json, незашифрованный без ключа. Права 0600 ограничивают других обычных пользователей, но не root, резервные копии или программы того же пользователя. OAuth-токены, client secrets и значения stdio env переносятся в хранилище. Заголовки headers остаются в mcp.json как записаны: bearer-токен в заголовке может остаться в конфигурации.

Режим memory не удаляет старые открытые значения из конфигурационных файлов: документация сохраняет их как единственную долговременную копию. Новые значения остаются в памяти. Поэтому смена режима не заменяет проверку существующих файлов.

Шифрование и пробный запуск

Файловое хранилище поддерживает ключ высокой энтропии через MCP_INSPECTOR_SECRET_KEY_FILE. Документация описывает AES-256-GCM и scrypt. Добавленный ключ шифрует существующий открытый файл при следующей записи, а не сразу. Шифрование помогает при утечке одного файла без ключа, но код того же пользователя может прочитать оба. Сервер stdio не становится изолированным благодаря шифрованию.

Предлагаемый тест использует отдельный профиль и фиктивные секреты: проверить предупреждение о хранилище, сохранить значение, перезапустить процесс и сравнить file с memory. Отдельно проверить сохранение headers и неуспешное соединение в CI. Это план, не полученные результаты.

LICENSE описывает переход: новые код и спецификации используют Apache-2.0, документация кроме спецификаций CC-BY-4.0, а вклад без согласия на смену лицензии остается под исходной MIT. Перед распространением проверяйте условия конкретных материалов. Для общего сервера заранее выберите профиль и срок хранения, сохраняйте только очищенную диагностику и оставляйте аутентификацию включенной.