🔐 MCP सुरक्षा जाँच सूची

एक व्यावहारिक, समुदाय-द्वारा अनुरक्षित सुरक्षा जाँच सूची जो मॉडल कॉन्टेक्स्ट प्रोटोकॉल (MCP) सर्वर और AI एजेंट बुनियादी ढाँचा बनाने और तैनात करने वाली टीमों के लिए है।

---

यह क्यों मौजूद है

MCP तेज़ी से अपनाया जा रहा है। सुरक्षा मार्गदर्शन पीछे छूट रहा है।

यह जाँच सूची सुरक्षा इंजीनियरों, प्लेटफ़ॉर्म टीमों और तकनीकी नेताओं को MCP परिनियोजन को सुरक्षित करने के लिए एक स्पष्ट, कार्रवाई योग्य आधार प्रदान करती है — चाहे आप एक आंतरिक उपकरण या ग्राहक-सामना करने वाला AI एजेंट शिप कर रहे हों।

यह विक्रेता-विशिष्ट, पूर्ण या पूर्ण सुरक्षा समीक्षा का प्रतिस्थापन नहीं है। यह एक प्रारंभिक बिंदु है।

---

📋 जाँच सूचियाँ

---

✅ त्वरित-प्रारंभ: शीर्ष 10 नियंत्रण

यदि आप कुछ और नहीं करते, तो इन्हें कवर करें:

1. MCP को mTLS या समकक्ष के बिना सार्वजनिक इंटरनेट पर कभी उजागर न करें।
2. प्रत्येक उपकरण को न्यूनतम आवश्यक अनुमतियों तक सीमित करें।
3. उपकरण निष्पादन तक पहुँचने से पहले सभी इनपुट को मान्य और साफ करें।
4. मूल सत्र संदर्भ के साथ प्रत्येक उपकरण आह्वान को लॉग करें।
5. MCP सर्वर और इसके द्वारा कॉल किए जाने वाले किसी भी डाउनस्ट्रीम API दोनों पर दर सीमाएं निर्धारित करें।
6. एजेंट सत्रों को डिफ़ॉल्ट रूप से अविश्वसनीय मानें — केवल प्रमाणीकरण टोकन नहीं, बल्कि आशय को मान्य करें।
7. पढ़ने और लिखने के उपकरण श्रेणियों को अलग करें; संवेदनशील संदर्भों में लिखने के संचालन के लिए स्पष्ट अनुमोदन की आवश्यकता है।
8. MCP सर्वरों द्वारा उपयोग किए जाने वाले क्रेडेंशियल को एक निर्धारित अनुसूची पर घुमाएं।
9. व्यवहार संबंधी विसंगतियों की निगरानी करें: असामान्य उपकरण श्रृंखलाएं, उच्च-आवृत्ति कॉल, ऑफ-घंटे पहुँच।
10. प्रत्येक उत्पादन परिनियोजन से पहले एक उपकरण सूची समीक्षा आयोजित करें।

---

🗂️ मशीन-पठनीय संस्करण

जाँच सूची का एक JSON और YAML संस्करण CI/CD पाइपलाइनों, अनुपालन उपकरणों, या कस्टम डैशबोर्ड में एकीकरण के लिए उपलब्ध है:

• checklist.json
• checklist.yaml

---

🌐 GitHub Pages साइट

जाँच सूची को अधिक अनुकूल प्रारूप में देखें: helixar-ai.github.io/mcp-security-checklist

---

🤝 योगदान

यह जाँच सूची सामुदायिक इनपुट के माध्यम से बेहतर होती है। यदि आपने वास्तविक दुनिया के MCP परिनियोजन में कोई अंतर, गलत कॉन्फ़िगरेशन, या हमला पैटर्न देखा है — तो हम इसके बारे में सुनना चाहते हैं।

कैसे शामिल हों, इसके लिए CONTRIBUTING.md देखें।

---

📌 दायरा और सीमाएँ

यह जाँच सूची कवर करती है:

• MCP सर्वर परिनियोजन और कॉन्फ़िगरेशन सुरक्षा
• आने वाले सत्र और API अनुरोध सुरक्षा
• एजेंट-से-उपकरण इंटरैक्शन सतह
• संचालन निगरानी और पहचान

यह जाँच सूची कवर नहीं करती:

• मॉडल वज़न या प्रशिक्षण पाइपलाइन सुरक्षा
• अंतिम-उपयोगकर्ता डेटा गोपनीयता अनुपालन (GDPR, CCPA, आदि)
• सामान्य क्लाउड बुनियादी ढाँचा कठोरीकरण

---

🏷️ लाइसेंस

MIT. इसका स्वतंत्र रूप से उपयोग करें। एट्रिब्यूशन सराहा जाता है।

---

Helixar सुरक्षा अनुसंधान टीम द्वारा अनुरक्षित। Helixar एजेंटिक बुनियादी ढाँचे के लिए AI-नेटिव एंडपॉइंट और API सुरक्षा बनाता है।