_{Mascarada renascentista. Sente-se no assento do agente.}

masq

Sente-se no assento do agente.

Um CLI que fala MCP e OpenAI-compat do jeito que o modelo fala e, em seguida, gera relatórios como o linpeas. Achados mais remediações. Sem payloads de exploração. Sem descriptografia de CoT.

Por que isso existe

Scanners MCP estáticos (Invariant mcp-scan, mcp-security-scan) fazem lint de esquemas e configurações. Ferramentas de health check pingam initialize. A lacuna é o assento:

1. Blobs de raciocínio criptografados são ecoados para o cliente e armazenados em logs de sessão. Eles são portáveis entre sessões, usuários e modelos irmãos mais fracos (arXiv:2608.09867). Ao raspar 315 mil blobs públicos, 182 credenciais foram recuperadas. masq detecta esses blobs. Ele não os decodifica.
2. Uma grande parcela dos servidores MCP públicos não tem autenticação. Se você consegue initialize, você é o agente.
3. Portas de modelos locais (:11434, :8000) frequentemente fazem bind em 0.0.0.0 sem bearer.

Rodas que usamos, não reescrevemos: detectores de catálogo existentes + pin/check, netstat, ureq somente GET, OWASP MCP Top 10 como taxonomia de achados. Não clonamos mcp-scan ou mcp-security-scan.

Instalação

git clone https://gitlab.com/WattoCyber/masq.git
cd masq
cargo install --path .
# binary: masq
cargo test
# expect: exit 0

Suíte mundial (binário contra fixtures, mocks locais, reconhecimento deste host):

python scripts/world_suite.py
# field = ~/.grok/sessions  lab = allowlisted hosts  bench = frozen-corpus wall
python scripts/world_suite.py --lanes all

Caixa remota estilo Kali, a partir do desktop:

MASQ_REMOTE_HOST=user@host bash scripts/deploy_kali.sh
# on the box:
~/.local/bin/masq --plain
MASQ_LAB_HOSTS=... ~/.local/bin/masq --lab --plain

Caminho feliz

masq                         # live stream + posture report (includes skills)
masq --lab                   # same, plus allowlisted homelab hosts
masq tui                     # boxed TUI, stays until Ctrl+C
masq --plain                 # report only, no live stream
masq --json                  # machine report
masq recon                   # same dump, recon only
masq sniff ~/.grok/sessions  # CoT / secrets in session logs
masq sniff --timeline PATH   # file-order blob/secret/reason lines (no decrypt)
masq api                     # GET /v1/models on local (and --lab) ports
masq sit --url http://127.0.0.1:4443/mcp
masq chameleon --url http://127.0.0.1:4443/mcp -o /tmp/chameleon
masq chameleon --url ws://127.0.0.1:9000/mcp -o /tmp/chameleon
masq chameleon --url unix:///tmp/mcp.sock -o /tmp/chameleon
masq chameleon --token-file ~/.secrets/mcp.txt --url http://127.0.0.1:9/mcp -o /tmp/chameleon
masq chameleon -- python -m their_mcp -o /tmp/chameleon
# then: npx -y @copilotkit/aimock --config /tmp/chameleon/aimock.json
masq discover                # find VS Code / Cursor / Claude / Grok / Hermes MCP configs
masq proxy --upstream http://127.0.0.1:4443/mcp --block
masq sast ./server           # local sinks (semgrep if present)
masq classify --url http://127.0.0.1:4443/mcp --lab
masq overnight --lab --hours 6
masq map --from reports/overnight-YYYYMMDD/latest.json

# catalog
masq fixtures/t3_line_jump.json
masq fixtures/clean_calculator.json --trusted
masq pin fixtures/clean_calculator.json -k calc
masq check fixtures/clean_calculator.json -k calc
masq detectors

Saída: 0 limpo · 2 achados ≥ --fail-on (padrão high) · 1 erro.

A TUI é opcional (masq tui ou --tui). O padrão em um tty é um stream ao vivo estilo linpeas, seguido do relatório. Cron usa --plain / --no-color.

Comandos

Aliases: doctor / audit → scan. chameleon → mimic. posture → seat.

Módulos vs OWASP MCP Top 10

Transportes e autenticação

sit / chameleon falam:

• Streamable HTTP (http://)
• HTTP+SSE (evento do endpoint GET, depois POST)
• ws://
• unix: e npipe:
• stdio (--framing auto tenta NDJSON e depois Content-Length)

Autenticação (nunca despejada no relatório):

• --token-file PATH (a primeira linha vira Authorization: Bearer …)
• --token-env VAR
• --header "Name: value" (repetível)

wss:// não é nativo. Use Stunnel para ws:// ou HTTP. HTTP segue zero redirecionamentos.

O initialize via stdio não anuncia sampling. Sinalize o servidor sampling / elicitation. URLs de docs (model-catalog.json, /docs/) são ignoradas de propósito.

Hosts que o masq descobre

Raízes de configuração + skills sob $HOME / %USERPROFILE%:

VS Code, Cursor, Windsurf, Claude Desktop, Claude Code, Grok, Hermes, Codex, Continue, Gemini CLI, Amp, Kiro, OpenCode, Amazon Q, Antigravity, OpenClaw.

Além de .mcp.json no cwd e MASQ_EXTRA_CONFIG (lista de caminhos do SO).

Allowlist de lab (--lab)

--lab é uma allowlist, não um scan /24. É configurada pelo operador. Nada além de loopback é compilado.

• MASQ_LAB_HOSTS variável de ambiente: host:porta ou hosts separados por vírgula, espaço ou nova linha.
• .masq/lab-hosts arquivo: um host por linha, comentários com #.

Exemplo:

export MASQ_LAB_HOSTS="192.0.2.10,192.0.2.11"
masq --lab

MASQ_LAB_HOSTS é lida para sondas de API e o rollup da frota na TUI. MASQ_SIT_URLS (ou um --mcp-url) fornece URLs MCP para sit com --lab.

sit --url fora do loopback precisa de --lab e um host na allowlist. Initialize sem autenticação em loopback é Alto. Fora da máquina é Crítico.

Não aponte proxy para um host no qual você não sentaria.

Limites rígidos

Prioridade do sniff: chat_history.jsonl primeiro, depois Hermes request_dump_*, depois outros jsonl. A varredura termina. Ela não mantém os primeiros 300 resultados do WalkDir. Aponte masq sniff <um-diretório-de-sessão> para ir mais fundo.

Overnight

masq overnight --lab --hours 6 --interval-mins 20
# writes <cwd>/reports/overnight-YYYYMMDD/{latest.json,latest.md,latest.txt,delta.txt}

Não altera configurações. Não faz tools/call no servidor ao vivo. delta.txt é baseline / no_change / CHANGE mais + severidade título e - severidade título.

classify --llm e o add-on de triagem da TUI são os únicos POSTs de completions (Grok /v1/chat/completions, confirmação do operador). Sem chave: apenas remediações locais. Chave de XAI_API_KEY ou ~/.secrets/xai.txt. Nunca despejada.

Arquitetura

CLI (clap)  masq
  → seat | recon | sniff | api | sit | chameleon
  → discover | proxy | sast | classify | overnight | map
  → scan | multi | pin | check | detectors | tui
  → client (HTTP / SSE / ws / unix / npipe / stdio)
  → normalize (full-schema walk, caps)
  → detectors + sniff + recon + sit findings
  → report (text / JSON / Markdown) + optional TUI

Crate da biblioteca: masq (scan_from_tools_list, scan_stdio, run_seat, PostureReport).

Escopo honesto

Não despeje ~/.secrets. Recon conta arquivos. Caminho + "loaded".

Testes offline

cargo test
cargo clippy --all-targets -- -D warnings

Espere saída 0.

Fixtures: T1 envenenamento de descrição, T3 line-jump, T6 nomes de parâmetros, T8 ANSI, T13 nomes duplicados, pin rugpull, multi-lista, mock NDJSON ao vivo em tests/mock_mcp_server.py.

Segredos ficam fora do git (reports/, data/, .env, *.key, secrets/, .masq/).

Licença

MIT. Copyright 2026 SamsonCyber.