Часть StudioMeyer MCP Stack — Создано на Майорке 🌴 · ⭐ если используете

mcp-stdio-shellguard

• Спецификация MCP: 2025-06-18
• SDK: @modelcontextprotocol/sdk ^1.29.0
• Node: >= 20
• Лицензия: MIT
• Автор: Matthias Meyer (StudioMeyer)

Установка

npm install mcp-stdio-shellguard

Или запустите CLI для аудита напрямую без установки:

npx -y -p mcp-stdio-shellguard mcp-shellguard-audit scan ./src

Что вы получаете

Три уровня, опционально включаемые по частям:

1. Библиотечный API — заменяемые функции guardExec / guardSpawn, которые вы вызываете из своего MCP сервера. Белый список по умолчанию-запрет, профили песочницы, окно повторов.
2. CLI аудита — mcp-shellguard-audit scan <path> обходит AST, сообщает о 12 антипаттернах от LOW (нет таймаута) до CRITICAL (exec(\...${userInput}...`)`).
3. Эталонный MCP сервер — mcp-stdio-shellguard-demo предоставляет 8 инструментов, чтобы MCP Inspector / Claude Desktop могли напрямую использовать пакет.

Инструменты (эталонный сервер)

Профили песочницы

Вызывающий может ужесточить через timeoutMs / fdBudget на каждый вызов. Вызывающий не может расширить за пределы профиля.

Уровни доверия

Поднимите LOW → CRITICAL, зарегистрировав инструмент + задав argsPatterns + запуская через guardExec/guardSpawn (которые всегда активируют песочницу и повтор).

Быстрый старт библиотеки

import {
  AllowlistRegistry,
  ReplayWindow,
  guardExec,
} from "mcp-stdio-shellguard";

const registry = new AllowlistRegistry();
const replay = new ReplayWindow();

registry.register({
  toolName: "git-log",
  executable: "/usr/bin/git",
  argsPatterns: ["^log$", "^--oneline$", "^-n$", "^\\d+$"],
  sandboxProfile: "strict",
});

const result = await guardExec(
  {
    toolName: "git-log",
    command: "/usr/bin/git",
    args: ["log", "--oneline", "-n", "10"],
  },
  { registry, replay },
);

console.log(result.stdout); // → commit lines
console.log(result.trustTier); // → "CRITICAL"
console.log(result.canonicalHash); // → 64-char SHA-256

CLI аудита

mcp-shellguard-audit scan ./src
mcp-shellguard-audit scan ./src --format sarif --output audit.sarif
mcp-shellguard-audit scan ./src --severity-floor HIGH    # CI gate

Коды выхода:

• 0 чисто (нет результатов на уровне или выше порога)
• 1 есть результаты
• 2 ошибки парсинга/ввода-вывода

Библиотека антипаттернов (12 правил)

Сканер разрешает переименованные привязки child_process перед сопоставлением, поэтому опасные формы ниже обнаруживаются, даже если вызов идёт через псевдоним, а не буквальный child_process.exec:

• const execAsync = promisify(exec); execAsync(...${x})
• import cp from "node:child_process"; cp.exec(...${x})
• const { exec: sh } = require("child_process"); sh(...${x})
• import { exec as run } from "node:child_process"; run(...)

Синхронные варианты (spawnSync, execFileSync) используют те же правила, что и асинхронные, а shell_true_option также срабатывает на строковый shell ({ shell: "/bin/sh" }) или динамическое значение shell — не только на буквальный { shell: true }. promisify от не-child_process функции, деструктуризация из другого модуля и { shell: false } остаются чистыми (без ложных срабатываний).

Прагмы

• // shellguard:ignore-next-line — подавить одно обнаружение
• // shellguard:ignore-file — подавить весь файл (редко; предпочитайте построчное)

Почему это существует

Ox-Security раскрыла (май 2026), что 200k+ MCP stdio серверов оборачивают child_process.exec с шаблонными литералами, несущими пользовательский ввод прямо из аргументов инструментов LLM. LiteLLM v1.83.6 был каноническим примером (CVE исправлен в 1.83.7). Этот пакет является оборонительным аналогом безопасности: готовая защита + сканер, закрывающие этот класс уязвимостей. Вдохновлено seccomp из AWS Linux и уровнями песочницы Chromium.

Смотрите также

• HOOK_RECIPES.md — рецепты хуков Claude Code, автоматически блокирующих опасные вызовы инструментов
• CHANGELOG.md — история релизов
• Аудит Ox-Security MCP: https://venturebeat.com/security/200000-mcp-stdio-servers/
• LiteLLM CVE-2026-XXXX: https://github.com/BerriAI/litellm/security/advisories

Лицензия

MIT — Copyright (c) 2026 Matthias Meyer (StudioMeyer)