AI Extensions, 4 листопада: де MCP Inspector зберігає секрети

Налагоджувач MCP може запустити локальний сервер і зберегти токени віддаленого сервісу. Отже, MCP Inspector сам потребує перевірки доступу. Випуск AI Extensions за 4 листопада розглядає 2.13.0, обмежені CLI-проби та вибір сховища секретів.

Це огляд документації й коду без встановлення пакета або виконання атак. Реліз 2.13.0 опубліковано 28 жовтня. Свіже супроводження та популярність не доводять якість. Першу перевірку слід робити з вигаданими даними й без робочих прав.

Різні рівні перевірки

Репозиторій містить web, CLI, термінальний інтерфейс та експериментальний mcpdo. Інтерактивне дослідження й CI мають різні потреби входу та зберігання. Для stdio Inspector запускає обрану команду з правами користувача. HTTP прибирає саме цей запуск, але залишає мережевий доступ і можливі OAuth-токени.

Посібник smoke-тестів відділяє initialize, tools/list і виклик інструмента. Перша операція виконує handshake без виклику інструмента, друга показує доступні інструменти. Успішне з'єднання не доводить правильність результатів або прав. Обмежте час з'єднання та почніть із перевіреного тестового сервера.

Оновлення пакета не оновлює Node

Примітки 2.13.0 радять користувачам npm Node 22.23.4, 24.22.1 або 26.12.1 чи новіший. Inspector працює на встановленому Node. Поле engines дозволяє старіші 22.x, тому встановлення без помилки не підтверджує наявність виправлень середовища.

Приклад у посібнику ще фіксує 2.5.0. Це приклад відтворюваності, а не поточна рекомендація безпеки. Повідомлення про DNS rebinding називає 2.0.0–2.11.0 вразливими та 2.12.0 виправленою. Перевірений реліз 2.13.0 вийшов пізніше. У CI фіксуйте перевірену версію, зберігайте ненульовий код завершення та перевіряйте JSON. Не вимикайте автентифікацію заради успіху тесту.

Автоматичний перехід до файлу

Посібник сховища дозволяє явно обрати keyring, file або memory через MCP_INSPECTOR_SECRET_STORE. Інакше перевіряється системне сховище. Якщо воно недоступне, контейнер без змонтованого каталогу секретів використовує пам'ять; інші резервні випадки використовують файл.

На сервері без Secret Service це може бути ~/.mcp-inspector/secrets.json, незашифрований без ключа. Права 0600 не захищають від root, копії резервного архіву або програми того самого користувача. Токени OAuth, client secrets і значення stdio env переносяться до сховища, але headers залишаються у mcp.json як записані. Заголовок із bearer-токеном може залишити секрет у конфігурації.

Memory не очищає старі відкриті значення з конфігураційних файлів, бо вони можуть бути єдиною тривалою копією. Нові значення зберігаються у пам'яті. Зміна змінної середовища не замінює огляд наявних файлів.

Що перевірити перед входом

Файловий режим підтримує високоентропійний ключ через MCP_INSPECTOR_SECRET_KEY_FILE. Документація описує AES-256-GCM і scrypt. Додавання ключа шифрує попередній відкритий файл під час наступного запису. Шифрування допомагає, коли витік лише файл без ключа, але код того самого користувача може прочитати обидва. Stdio-сервер не отримує ізоляції завдяки цій функції.

Запропонована проба використовує окремий профіль і фіктивні секрети: перевірити попередження, записати значення, перезапустити процес, порівняти memory та file. Перевірте збереження headers і помилку з'єднання у CI. Це план перевірки, а не звіт виконання.

LICENSE описує перехід: нові код і специфікації Apache-2.0, документація крім специфікацій CC-BY-4.0, внески без згоди на зміну залишаються під початковою MIT. Перед поширенням читайте умови потрібного матеріалу. Для спільного сервера визначте профіль і строк зберігання до входу; лишайте автентифікацію увімкненою та зберігайте тільки очищену діагностику.