_{Mascarade de la Renaissance. Asseyez-vous dans le siège de l'agent.}

masq

Asseyez-vous dans le siège de l'agent.

Un CLI qui parle MCP et compatible OpenAI comme le fait le modèle, puis rapporte à la façon de linpeas. Constats plus remédiations. Aucune charge utile d'exploitation. Aucun déchiffrement CoT.

Pourquoi cela existe

Les scanners MCP statiques (Invariant mcp-scan, mcp-security-scan) lintent les schémas et les configurations. Les contrôleurs de santé pingent initialize. Le trou, c'est le siège :

1. Les blobs de raisonnement chiffrés sont renvoyés au client et stockés dans les journaux de session. Ils sont portables entre sessions, utilisateurs et modèles frères plus faibles (arXiv:2608.09867). Le raclage de 315k blobs publics a récupéré 182 identifiants. masq détecte ces blobs. Il ne les décode pas.
2. Une grande partie des serveurs MCP publics n'ont pas d'authentification. Si vous pouvez initialize, vous êtes l'agent.
3. Les ports de modèles locaux (:11434, :8000) se lient souvent à 0.0.0.0 sans bearer.

Des roues que nous enfourchons, pas que nous réécrivons : détecteurs de catalogue existants + pin/check, netstat, ureq en GET uniquement, OWASP MCP Top 10 comme taxonomie des constats. Nous n'avons pas cloné mcp-scan ni mcp-security-scan.

Install

git clone https://gitlab.com/WattoCyber/masq.git
cd masq
cargo install --path .
# binary: masq
cargo test
# expect: exit 0

Suite World (binaire contre des fixtures, mocks locaux, recon de cet hôte) :

python scripts/world_suite.py
# field = ~/.grok/sessions  lab = allowlisted hosts  bench = frozen-corpus wall
python scripts/world_suite.py --lanes all

Boîte distante façon Kali, depuis le poste de travail :

MASQ_REMOTE_HOST=user@host bash scripts/deploy_kali.sh
# on the box:
~/.local/bin/masq --plain
MASQ_LAB_HOSTS=... ~/.local/bin/masq --lab --plain

Parcours nominal

masq                         # live stream + posture report (includes skills)
masq --lab                   # same, plus allowlisted homelab hosts
masq tui                     # boxed TUI, stays until Ctrl+C
masq --plain                 # report only, no live stream
masq --json                  # machine report
masq recon                   # same dump, recon only
masq sniff ~/.grok/sessions  # CoT / secrets in session logs
masq sniff --timeline PATH   # file-order blob/secret/reason lines (no decrypt)
masq api                     # GET /v1/models on local (and --lab) ports
masq sit --url http://127.0.0.1:4443/mcp
masq chameleon --url http://127.0.0.1:4443/mcp -o /tmp/chameleon
masq chameleon --url ws://127.0.0.1:9000/mcp -o /tmp/chameleon
masq chameleon --url unix:///tmp/mcp.sock -o /tmp/chameleon
masq chameleon --token-file ~/.secrets/mcp.txt --url http://127.0.0.1:9/mcp -o /tmp/chameleon
masq chameleon -- python -m their_mcp -o /tmp/chameleon
# then: npx -y @copilotkit/aimock --config /tmp/chameleon/aimock.json
masq discover                # find VS Code / Cursor / Claude / Grok / Hermes MCP configs
masq proxy --upstream http://127.0.0.1:4443/mcp --block
masq sast ./server           # local sinks (semgrep if present)
masq classify --url http://127.0.0.1:4443/mcp --lab
masq overnight --lab --hours 6
masq map --from reports/overnight-YYYYMMDD/latest.json

# catalog
masq fixtures/t3_line_jump.json
masq fixtures/clean_calculator.json --trusted
masq pin fixtures/clean_calculator.json -k calc
masq check fixtures/clean_calculator.json -k calc
masq detectors

Sortie : 0 propre · 2 constats ≥ --fail-on (défaut high) · 1 erreur.

La TUI est facultative (masq tui ou --tui). Par défaut, sur un tty, un flux en direct façon linpeas, puis le rapport. Cron utilise --plain / --no-color.

Commandes

Alias : doctor / audit → scan. chameleon → mimic. posture → seat.

Modules vs OWASP MCP Top 10

Transports et authentification

sit / chameleon parlent :

• Streamable HTTP (http://)
• HTTP+SSE (événement de point de terminaison GET, puis POST)
• ws://
• unix: et npipe:
• stdio (--framing auto essaie NDJSON puis Content-Length)

Authentification (jamais déversée dans le rapport) :

• --token-file PATH (la première ligne devient Authorization: Bearer …)
• --token-env VAR
• --header "Name: value" (répétable)

wss:// n'est pas intégré. Stunnel vers ws:// ou utilisez HTTP. HTTP ne suit aucune redirection.

L'initialize stdio n'annonce pas sampling. Signalez sampling / elicitation du serveur. Les URL de documentation (model-catalog.json, /docs/) sont ignorées à dessein.

Hôtes découverts par masq

Racines de configuration + skills sous $HOME / %USERPROFILE% :

VS Code, Cursor, Windsurf, Claude Desktop, Claude Code, Grok, Hermes, Codex, Continue, Gemini CLI, Amp, Kiro, OpenCode, Amazon Q, Antigravity, OpenClaw.

Plus le .mcp.json du répertoire courant et MASQ_EXTRA_CONFIG (liste de chemins OS).

Liste autorisée lab (--lab)

--lab est une liste autorisée, pas un scan /24. Elle est configurée par l'opérateur. Rien n'est compilé au-delà du loopback.

• Variable d'environnement MASQ_LAB_HOSTS : hôte:port ou hôtes séparés par des virgules, des espaces ou des retours à la ligne.
• Fichier .masq/lab-hosts : un hôte par ligne, commentaires #.

Exemple :

export MASQ_LAB_HOSTS="192.0.2.10,192.0.2.11"
masq --lab

MASQ_LAB_HOSTS est lu pour les sondes API et le regroupement de flotte TUI. MASQ_SIT_URLS (ou un --mcp-url) fournit les URL MCP sur lesquelles s'asseoir avec --lab.

sit --url hors loopback nécessite --lab et un hôte en liste autorisée. Un initialize non authentifié sur loopback est High. Hors de la machine est Critical.

Ne pointez pas proxy vers un hôte sur lequel vous ne vous assiériez pas.

Limites strictes

Priorité de sniff : chat_history.jsonl d'abord, puis Hermes request_dump_*, puis les autres jsonl. Le parcours va jusqu'au bout. Il ne conserve pas les 300 premières occurrences WalkDir. Pointez masq sniff <un-dossier-de-session> pour aller plus loin.

Overnight

masq overnight --lab --hours 6 --interval-mins 20
# writes <cwd>/reports/overnight-YYYYMMDD/{latest.json,latest.md,latest.txt,delta.txt}

Ne modifie pas les configurations. N'émet pas de tools/call vers le serveur en direct. delta.txt est baseline / no_change / CHANGE, plus + titre de sévérité et - titre de sévérité.

classify --llm et le module complémentaire de triage TUI sont les seuls POST de complétions (Grok /v1/chat/completions, confirmation de l'opérateur). Sans clé : remédiations locales uniquement. Clé depuis XAI_API_KEY ou ~/.secrets/xai.txt. Jamais déversée.

Architecture

CLI (clap)  masq
  → seat | recon | sniff | api | sit | chameleon
  → discover | proxy | sast | classify | overnight | map
  → scan | multi | pin | check | detectors | tui
  → client (HTTP / SSE / ws / unix / npipe / stdio)
  → normalize (full-schema walk, caps)
  → detectors + sniff + recon + sit findings
  → report (text / JSON / Markdown) + optional TUI

Crate de bibliothèque : masq (scan_from_tools_list, scan_stdio, run_seat, PostureReport).

Périmètre honnête

Ne déversez pas ~/.secrets. Recon compte les fichiers. Chemin + « loaded ».

Tests hors ligne

cargo test
cargo clippy --all-targets -- -D warnings

Sortie attendue : 0.

Fixtures : T1 empoisonnement de description, T3 saut de ligne, T6 noms de paramètres, T8 ANSI, T13 noms dupliqués, rugpull d'épingles, multi-liste, mock NDJSON en direct sous tests/mock_mcp_server.py.

Les secrets restent hors de git (reports/, data/, .env, *.key, secrets/, .masq/).

Licence

MIT. Copyright 2026 SamsonCyber.