_{Mascarada renacentista. Siéntate en el asiento del agente.}

masq

Siéntate en el asiento del agente.

Una CLI que habla MCP y OpenAI-compat como lo hace el modelo, y luego informa como linpeas. Hallazgos más remediaciones. Sin payloads de explotación. Sin descifrado de CoT.

Por qué existe

Los escáneres estáticos de MCP (Invariant mcp-scan, mcp-security-scan) hacen lint de esquemas y configuraciones. Los chequeos de salud hacen ping a initialize. El hueco está en el asiento:

1. Los blobs de razonamiento cifrado se devuelven al cliente y se guardan en los registros de sesión. Son portables entre sesiones, usuarios y modelos hermanos más débiles (arXiv:2608.09867). Al raspar 315k blobs públicos se recuperaron 182 credenciales. masq detecta esos blobs. No los decodifica.
2. Una gran parte de los servidores MCP públicos no tienen autenticación. Si puedes initialize, eres el agente.
3. Los puertos de modelos locales (:11434, :8000) suelen vincularse a 0.0.0.0 sin bearer.

Usamos ruedas existentes, no las reescribimos: detectores de catálogo existentes + pin/check, netstat, ureq solo-GET, OWASP MCP Top 10 como taxonomía de hallazgos. No clonamos mcp-scan ni mcp-security-scan.

Instalación

git clone https://gitlab.com/WattoCyber/masq.git
cd masq
cargo install --path .
# binary: masq
cargo test
# expect: exit 0

Suite mundial (binario contra fixtures, mocks locales, reconocimiento de este host):

python scripts/world_suite.py
# field = ~/.grok/sessions  lab = allowlisted hosts  bench = frozen-corpus wall
python scripts/world_suite.py --lanes all

Máquina remota estilo Kali, desde el escritorio:

MASQ_REMOTE_HOST=user@host bash scripts/deploy_kali.sh
# on the box:
~/.local/bin/masq --plain
MASQ_LAB_HOSTS=... ~/.local/bin/masq --lab --plain

Ruta feliz

masq                         # live stream + posture report (includes skills)
masq --lab                   # same, plus allowlisted homelab hosts
masq tui                     # boxed TUI, stays until Ctrl+C
masq --plain                 # report only, no live stream
masq --json                  # machine report
masq recon                   # same dump, recon only
masq sniff ~/.grok/sessions  # CoT / secrets in session logs
masq sniff --timeline PATH   # file-order blob/secret/reason lines (no decrypt)
masq api                     # GET /v1/models on local (and --lab) ports
masq sit --url http://127.0.0.1:4443/mcp
masq chameleon --url http://127.0.0.1:4443/mcp -o /tmp/chameleon
masq chameleon --url ws://127.0.0.1:9000/mcp -o /tmp/chameleon
masq chameleon --url unix:///tmp/mcp.sock -o /tmp/chameleon
masq chameleon --token-file ~/.secrets/mcp.txt --url http://127.0.0.1:9/mcp -o /tmp/chameleon
masq chameleon -- python -m their_mcp -o /tmp/chameleon
# then: npx -y @copilotkit/aimock --config /tmp/chameleon/aimock.json
masq discover                # find VS Code / Cursor / Claude / Grok / Hermes MCP configs
masq proxy --upstream http://127.0.0.1:4443/mcp --block
masq sast ./server           # local sinks (semgrep if present)
masq classify --url http://127.0.0.1:4443/mcp --lab
masq overnight --lab --hours 6
masq map --from reports/overnight-YYYYMMDD/latest.json

# catalog
masq fixtures/t3_line_jump.json
masq fixtures/clean_calculator.json --trusted
masq pin fixtures/clean_calculator.json -k calc
masq check fixtures/clean_calculator.json -k calc
masq detectors

Salida: 0 limpio · 2 hallazgos ≥ --fail-on (por defecto high) · 1 error.

La TUI es opt-in (masq tui o --tui). En una tty el valor por defecto es un stream en vivo estilo linpeas y luego el informe. Cron usa --plain / --no-color.

Comandos

Alias: doctor / audit → scan. chameleon → mimic. posture → seat.

Módulos vs OWASP MCP Top 10

Transportes y autenticación

sit / chameleon hablan:

• Streamable HTTP (http://)
• HTTP+SSE (evento del endpoint GET, luego POST)
• ws://
• unix: y npipe:
• stdio (--framing auto prueba NDJSON y luego Content-Length)

Autenticación (nunca se vuelca al informe):

• --token-file PATH (la primera línea se convierte en Authorization: Bearer …)
• --token-env VAR
• --header "Name: value" (repetible)

wss:// no está integrado. Stunnel a ws:// o usa HTTP. HTTP sigue cero redirecciones.

El initialize de stdio no publicita sampling. Marca el sampling / elicitation del servidor. Las URLs de documentación (model-catalog.json, /docs/) se ignoran a propósito.

Hosts que masq descubre

Raíces de config + skills bajo $HOME / %USERPROFILE%:

VS Code, Cursor, Windsurf, Claude Desktop, Claude Code, Grok, Hermes, Codex, Continue, Gemini CLI, Amp, Kiro, OpenCode, Amazon Q, Antigravity, OpenClaw.

Además, .mcp.json en el cwd y MASQ_EXTRA_CONFIG (lista de rutas del SO).

Lista de permitidos del lab (--lab)

--lab es una lista de permitidos, no un escaneo /24. Está configurada por el operador. Nada está compilado más allá del loopback.

• Variable de entorno MASQ_LAB_HOSTS: host:port o hosts separados por coma, espacio o nueva línea.
• Archivo .masq/lab-hosts: un host por línea, comentarios #.

Ejemplo:

export MASQ_LAB_HOSTS="192.0.2.10,192.0.2.11"
masq --lab

MASQ_LAB_HOSTS se lee para las sondas de API y la consolidación de flota de la TUI. MASQ_SIT_URLS (o un --mcp-url) suministra URLs MCP sobre las que tomar asiento con --lab.

sit --url fuera de loopback necesita --lab y un host en la lista de permitidos. El initialize sin autenticar en loopback es High. Fuera de la máquina es Critical.

No apuntes proxy a un host en el que no te sentarías.

Límites estrictos

Prioridad de sniff: primero chat_history.jsonl, luego request_dump_* de Hermes, después otros jsonl. El walk termina. No conserva los primeros 300 resultados de WalkDir. Usa masq sniff <one-session-dir> para ir más a fondo.

Overnight

masq overnight --lab --hours 6 --interval-mins 20
# writes <cwd>/reports/overnight-YYYYMMDD/{latest.json,latest.md,latest.txt,delta.txt}

No muta configuraciones. No hace tools/call al servidor en vivo. delta.txt es baseline / no_change / CHANGE más + título de severidad y - título de severidad.

classify --llm y el complemento de triaje de la TUI son los únicos POST de completions (Grok /v1/chat/completions, confirmación del operador). Sin clave: solo remediaciones locales. La clave proviene de XAI_API_KEY o ~/.secrets/xai.txt. Nunca se vuelca.

Arquitectura

CLI (clap)  masq
  → seat | recon | sniff | api | sit | chameleon
  → discover | proxy | sast | classify | overnight | map
  → scan | multi | pin | check | detectors | tui
  → client (HTTP / SSE / ws / unix / npipe / stdio)
  → normalize (full-schema walk, caps)
  → detectors + sniff + recon + sit findings
  → report (text / JSON / Markdown) + optional TUI

Crate de librería: masq (scan_from_tools_list, scan_stdio, run_seat, PostureReport).

Alcance honesto

No vuelques ~/.secrets. Recon cuenta archivos. Ruta + "loaded".

Pruebas offline

cargo test
cargo clippy --all-targets -- -D warnings

Se espera salida 0.

Fixtures: T1 envenenamiento de descripción, T3 line-jump, T6 nombres de parámetros, T8 ANSI, T13 nombres duplicados, rugpull de pin, multi-lista, mock NDJSON en vivo en tests/mock_mcp_server.py.

Los secretos se mantienen fuera de git (reports/, data/, .env, *.key, secrets/, .masq/).

Licencia

MIT. Copyright 2026 SamsonCyber.