MCP-Shield

Установка

Работает в

• Cursor
• Claude Desktop
• Windsurf
• VS Code
• SourceCraft
• Koda
• Coddy

npx skillfoxx add mcp/mcp-shield

Что делает

MCP-Shield запускается командой `npx mcp-shield` и проверяет, не отравлены ли установленные у вас MCP-серверы. Сначала он ищет файлы настроек в стандартных местах: `~/.cursor/mcp.json`, `~/.vscode/mcp.json`, `~/.codeium/windsurf/mcp_config.json`, `claude_desktop_config.json` и `settings.json` редактора Code. Другой файл указывают ключом `--path`. Затем для каждого найденного сервера он выполняет настроенную команду или открывает адрес SSE, подключается как MCP-клиент с таймаутом 30 секунд и запрашивает список инструментов. Описания инструментов и схемы параметров проверяются по готовым шаблонам. Скрытые инструкции: приказы вроде «не сообщай пользователю», теги `<instructions>`, `<important>`, `<system>`, `<secret>`, «игнорируй предыдущие указания». Обращение к чувствительным файлам: каталог `~/.ssh`, `.env`, `id_rsa`. Подмена чужих инструментов, когда описание одного меняет поведение другого, и перекрестные нарушения между серверами. Каналы утечки, то есть необязательные параметры с названиями вроде `notes`, `feedback`, `metadata`, `debug`, `extra`. Результат выводится деревом по серверам и инструментам с уровнем HIGH, MEDIUM или LOW и найденными фрагментами. С ключом `--claude-api-key` описания дополнительно уходят в Claude (в коде указана модель `claude-3-7-sonnet-20250219`) для разбора по тем же пяти признакам. Ключ `--safe-list` исключает доверенные серверы из проверки и из поиска перекрестных нарушений. Ключ `--identify-as` выдает сканер за другой клиент, например `claude-desktop`, чтобы проверить, ведет ли себя сервер иначе для разных клиентов.

Для кого. Для разработчиков и специалистов по безопасности, которые подключают к Cursor, Claude Desktop, Windsurf и VS Code сторонние MCP-серверы и хотят проверить их описания до того, как агент им доверится.

Пример запроса к агенту

Прогони mcp-shield по моим настройкам Cursor и покажи, у каких серверов в описаниях есть скрытые инструкции

MCP

Ограничения

• Лицензия MIT. Последний коммит датирован апрелем 2025 года, версия пакета 1.0.4, а тестов в репозитории нет.
• Сканер запускает MCP-серверы из ваших настроек и передает им всю текущую среду процесса вместе с переменными окружения, в том числе с секретами. Для адресов SSE он открывает соединение с сервером. Если команда сервера опасна, проверка ее выполнит.
• Правила состоят из регулярных выражений по тексту описаний и списка подозрительных имен параметров. Новый прием атаки, не похожий на шаблоны, сканер пропустит. Безобидное описание с фразой вроде «always include» может дать ложное срабатывание.
• Для дополнительного анализа нужен ключ Anthropic, а API Anthropic из России недоступен. Без ключа работают только шаблоны. Ключ в командной строке остается в истории оболочки.
• Ключ `--identify-as` меняет только имя клиента при подключении. Ответ сервера на разные имена сканер сам не сравнивает: сопоставлять результаты запусков придется вам.
• В репозитории лежат учебные вредоносные серверы `bad-mcp-server.js` и `mcp-whatsapp.js` для проверки сканера, запускать их стоит только в изолированной среде.

Как отключить. Постоянного процесса нет: сканер работает, пока идет команда, и ничего не прописывает в настройки агентов. Если ставили глобально, удалите пакет командой `npm uninstall -g mcp-shield`. Кэш `npx` очищает `npm cache clean --force`.

Коротко о README

В репозитории есть описание с командами и ключами, пример вывода с деревом серверов и разбором одной находки, перечень возможностей и случаев применения. Четыре типа атак показаны на коротких примерах кода: отравление описания, подмена чужого инструмента, канал утечки и перекрестное нарушение. В папке `mcp-servers-example` лежат два учебных сервера для проверки сканера, в конце даны ссылки на исследование Invariant Labs, на котором основан проект.