_{Mascherata rinascimentale. Siediti al posto dell'agente.}

masq

Siediti al posto dell'agente.

Una CLI che parla MCP e OpenAI-compat come fa il modello, poi genera report stile linpeas. Risultati più remediation. Nessun payload di exploit. Nessuna decrittazione del CoT.

Perché esiste

Gli scanner MCP statici (Invariant mcp-scan, mcp-security-scan) fanno lint di schemi e config. I tool di health check fanno ping a initialize. Il buco è il posto:

1. I blob di ragionamento cifrati vengono rimandati al client e salvati nei log di sessione. Sono portabili tra sessioni, utenti e modelli fratelli più deboli (arXiv:2608.09867). Raschiando 315k blob pubblici sono state recuperate 182 credenziali. masq rileva questi blob. Non li decodifica.
2. Una grande parte dei server MCP pubblici non ha autenticazione. Se puoi fare initialize, sei l'agente.
3. Le porte dei modelli locali (:11434, :8000) spesso fanno bind su 0.0.0.0 senza bearer.

Ruote su cui viaggiamo, non che riscriviamo: detector di catalogo esistenti + pin/check, netstat, ureq solo GET, OWASP MCP Top 10 come tassonomia dei finding. Non abbiamo clonato mcp-scan o mcp-security-scan.

Install

git clone https://gitlab.com/WattoCyber/masq.git
cd masq
cargo install --path .
# binary: masq
cargo test
# expect: exit 0

World suite (binario contro fixture, mock locali, recon sull'host corrente):

python scripts/world_suite.py
# field = ~/.grok/sessions  lab = allowlisted hosts  bench = frozen-corpus wall
python scripts/world_suite.py --lanes all

Box remoto stile Kali, dal desktop:

MASQ_REMOTE_HOST=user@host bash scripts/deploy_kali.sh
# on the box:
~/.local/bin/masq --plain
MASQ_LAB_HOSTS=... ~/.local/bin/masq --lab --plain

Percorso felice

masq                         # live stream + posture report (includes skills)
masq --lab                   # same, plus allowlisted homelab hosts
masq tui                     # boxed TUI, stays until Ctrl+C
masq --plain                 # report only, no live stream
masq --json                  # machine report
masq recon                   # same dump, recon only
masq sniff ~/.grok/sessions  # CoT / secrets in session logs
masq sniff --timeline PATH   # file-order blob/secret/reason lines (no decrypt)
masq api                     # GET /v1/models on local (and --lab) ports
masq sit --url http://127.0.0.1:4443/mcp
masq chameleon --url http://127.0.0.1:4443/mcp -o /tmp/chameleon
masq chameleon --url ws://127.0.0.1:9000/mcp -o /tmp/chameleon
masq chameleon --url unix:///tmp/mcp.sock -o /tmp/chameleon
masq chameleon --token-file ~/.secrets/mcp.txt --url http://127.0.0.1:9/mcp -o /tmp/chameleon
masq chameleon -- python -m their_mcp -o /tmp/chameleon
# then: npx -y @copilotkit/aimock --config /tmp/chameleon/aimock.json
masq discover                # find VS Code / Cursor / Claude / Grok / Hermes MCP configs
masq proxy --upstream http://127.0.0.1:4443/mcp --block
masq sast ./server           # local sinks (semgrep if present)
masq classify --url http://127.0.0.1:4443/mcp --lab
masq overnight --lab --hours 6
masq map --from reports/overnight-YYYYMMDD/latest.json

# catalog
masq fixtures/t3_line_jump.json
masq fixtures/clean_calculator.json --trusted
masq pin fixtures/clean_calculator.json -k calc
masq check fixtures/clean_calculator.json -k calc
masq detectors

Uscita: 0 pulito · 2 finding ≥ --fail-on (default high) · 1 errore.

La TUI è opzionale (masq tui o --tui). Il default su una tty è un live stream in stile linpeas, poi il report. Cron usa --plain / --no-color.

Comandi

Alias: doctor / audit → scan. chameleon → mimic. posture → seat.

Moduli vs OWASP MCP Top 10

Trasporti e autenticazione

sit / chameleon parlano:

• Streamable HTTP (http://)
• HTTP+SSE (evento endpoint GET, poi POST)
• ws://
• unix: e npipe:
• stdio (--framing auto prova NDJSON poi Content-Length)

Auth (mai scritta nel report):

• --token-file PATH (la prima riga diventa Authorization: Bearer …)
• --token-env VAR
• --header "Name: value" (ripetibile)

wss:// non è integrato. Stunnel verso ws:// oppure usa HTTP. HTTP non segue alcun redirect.

L'initialize stdio non pubblicizza sampling. Segnala il server sampling / elicitation. Gli URL di docs (model-catalog.json, /docs/) vengono ignorati di proposito.

Host scoperti da masq

Radici di config + skill sotto $HOME / %USERPROFILE%:

VS Code, Cursor, Windsurf, Claude Desktop, Claude Code, Grok, Hermes, Codex, Continue, Gemini CLI, Amp, Kiro, OpenCode, Amazon Q, Antigravity, OpenClaw.

Più .mcp.json nella cwd e MASQ_EXTRA_CONFIG (lista di path del sistema operativo).

Allowlist lab (--lab)

--lab è un'allowlist, non una scansione /24. È configurata dall'operatore. Nulla è compilato oltre il loopback.

• Variabile d'ambiente MASQ_LAB_HOSTS: host:port o host separati da virgola, spazio o newline.
• File .masq/lab-hosts: un host per riga, commenti #.

Esempio:

export MASQ_LAB_HOSTS="192.0.2.10,192.0.2.11"
masq --lab

MASQ_LAB_HOSTS viene letta per i probe API e per il rollup fleet della TUI. MASQ_SIT_URLS (o un --mcp-url) fornisce gli URL MCP su cui fare sit con --lab.

Un sit --url fuori dal loopback richiede --lab e un host allowlistato. L'initialize non autenticato su loopback è High. Fuori dalla macchina è Critical.

Non puntare proxy verso un host su cui non faresti sit.

Limiti rigidi

Priorità sniff: prima chat_history.jsonl, poi Hermes request_dump_*, poi altri jsonl. La walk arriva in fondo. Non tiene i primi 300 risultati di WalkDir. Punta masq sniff <una-directory-di-sessione> per andare più a fondo.

Overnight

masq overnight --lab --hours 6 --interval-mins 20
# writes <cwd>/reports/overnight-YYYYMMDD/{latest.json,latest.md,latest.txt,delta.txt}

Non muta le config. Non fa tools/call sul server live. delta.txt è baseline / no_change / CHANGE più + gravità titolo e - gravità titolo.

classify --llm e il componente aggiuntivo di triage della TUI sono gli unici POST di completions (Grok /v1/chat/completions, conferma dell'operatore). Senza chiave: solo remediation locali. Chiave da XAI_API_KEY o ~/.secrets/xai.txt. Mai scritta.

Architettura

CLI (clap)  masq
  → seat | recon | sniff | api | sit | chameleon
  → discover | proxy | sast | classify | overnight | map
  → scan | multi | pin | check | detectors | tui
  → client (HTTP / SSE / ws / unix / npipe / stdio)
  → normalize (full-schema walk, caps)
  → detectors + sniff + recon + sit findings
  → report (text / JSON / Markdown) + optional TUI

Crate libreria: masq (scan_from_tools_list, scan_stdio, run_seat, PostureReport).

Scope onesto

Non fare dump di ~/.secrets. Recon conta i file. Percorso + "loaded".

Test offline

cargo test
cargo clippy --all-targets -- -D warnings

Atteso exit 0.

Fixture: T1 avvelenamento descrizione, T3 line-jump, T6 nomi parametri, T8 ANSI, T13 nomi duplicati, pin rugpull, multi-list, mock NDJSON live in tests/mock_mcp_server.py.

I segreti restano fuori da git (reports/, data/, .env, *.key, secrets/, .masq/).

Licenza

MIT. Copyright 2026 SamsonCyber.