StudioMeyer MCP Stack의 일부 — 마요르카에서 제작 🌴 · 사용한다면 ⭐

mcp-stdio-shellguard

• MCP 스펙: 2025-06-18
• SDK: @modelcontextprotocol/sdk ^1.29.0
• Node: >= 20
• 라이선스: MIT
• 저자: Matthias Meyer (StudioMeyer)

설치

npm install mcp-stdio-shellguard

또는 설치 없이 감사 CLI를 직접 실행:

npx -y -p mcp-stdio-shellguard mcp-shellguard-audit scan ./src

제공 기능

세 가지 계층으로, 부분적으로 선택 적용(opt-in)할 수 있습니다:

1. 라이브러리 API — 자체 MCP 서버에서 호출하는 드롭인 guardExec / guardSpawn. 기본 거부(default-deny) 허용 목록, 샌드박스 프로파일, 재생 창(replay window).
2. 감사 CLI — mcp-shellguard-audit scan <path>가 AST를 탐색하여 LOW(no timeout)부터 CRITICAL(exec(\...${userInput}...`)`)까지 12가지 안티패턴을 보고합니다.
3. 참조 MCP 서버 — mcp-stdio-shellguard-demo는 8개의 도구를 노출하여 MCP Inspector / Claude Desktop이 번들을 직접 구동할 수 있게 합니다.

도구 (참조 서버)

샌드박스 프로파일

호출자는 timeoutMs / fdBudget로 호출별 제한을 더 강화할 수 있습니다. 호출자는 프로파일을 넘어 제한을 완화할 수 없습니다.

신뢰 등급

도구 등록 + argsPatterns 설정 + guardExec/guardSpawn을 통한 실행(항상 sandbox + replay를 활성화함)으로 LOW → CRITICAL로 끌어올릴 수 있습니다.

라이브러리 빠른 시작

import {
  AllowlistRegistry,
  ReplayWindow,
  guardExec,
} from "mcp-stdio-shellguard";

const registry = new AllowlistRegistry();
const replay = new ReplayWindow();

registry.register({
  toolName: "git-log",
  executable: "/usr/bin/git",
  argsPatterns: ["^log$", "^--oneline$", "^-n$", "^\\d+$"],
  sandboxProfile: "strict",
});

const result = await guardExec(
  {
    toolName: "git-log",
    command: "/usr/bin/git",
    args: ["log", "--oneline", "-n", "10"],
  },
  { registry, replay },
);

console.log(result.stdout); // → commit lines
console.log(result.trustTier); // → "CRITICAL"
console.log(result.canonicalHash); // → 64-char SHA-256

감사 CLI

mcp-shellguard-audit scan ./src
mcp-shellguard-audit scan ./src --format sarif --output audit.sarif
mcp-shellguard-audit scan ./src --severity-floor HIGH    # CI gate

종료 코드:

• 0 깨끗함 (플로어 이상의 발견 사항 없음)
• 1 발견 사항 존재
• 2 파싱 / IO 오류

안티패턴 라이브러리 (12가지 규칙)

스캐너는 매칭 전에 이름이 바뀐 child_process 바인딩을 해석하므로, 아래의 위험한 형태는 호출이 리터럴 child_process.exec가 아닌 별칭(alias)을 통해 이루어져도 감지됩니다:

• const execAsync = promisify(exec); execAsync(...${x})
• import cp from "node:child_process"; cp.exec(...${x})
• const { exec: sh } = require("child_process"); sh(...${x})
• import { exec as run } from "node:child_process"; run(...)

동기식 변형(spawnSync, execFileSync)은 비동기 규칙을 공유하며, shell_true_option은 리터럴 { shell: true }뿐만 아니라 문자열 셸({ shell: "/bin/sh" }) 또는 동적 셸 값에서도 발생합니다. child_process가 아닌 함수의 promisify, 다른 모듈에서의 구조 분해, { shell: false }는 깨끗하게 유지됩니다(오탐 없음).

프래그마

• // shellguard:ignore-next-line — 발견 사항 1건을 억제합니다
• // shellguard:ignore-file — 전체 파일을 억제합니다 (드묾; 줄 단위 권장)

왜 필요한가

Ox-Security는 (2026-05) 20만 개 이상의 MCP stdio 서버가 LLM 도구 인자에서 직접 가져온 사용자 입력을 담은 템플릿 리터럴로 child_process.exec를 래핑한다고 공개했습니다. LiteLLM v1.83.6이 대표적인 사례였습니다(CVE는 1.83.7에서 패치됨). 이 번들은 방어 보안(defensive-security) 대응책입니다: 해당 클래스를 차단하는 드롭인 가드 + 스캐너. AWS Linux seccomp + Chromium 샌드박스 등급에서 영감을 받았습니다.

함께 보기

• HOOK_RECIPES.md — 위험한 도구 호출을 자동 차단하는 Claude Code 훅 레시피
• CHANGELOG.md — 릴리스 기록
• Ox-Security MCP 감사: https://venturebeat.com/security/200000-mcp-stdio-servers/
• LiteLLM CVE-2026-XXXX: https://github.com/BerriAI/litellm/security/advisories

라이선스

MIT — Copyright (c) 2026 Matthias Meyer (StudioMeyer)