Часть StudioMeyer MCP Stack — Создано на Мальорке 🌴 · ⭐ если используете

mcp-server-attestation

Прямой ответ на:

• OX Security: отравление маркетплейса, апрель 2026 — 9 из 11 MCP-реестров приняли вредоносные серверы. Опубликованная позиция Anthropic: «ожидаемое поведение».
• CVE-2025-69256 — RCE в Serverless Framework MCP через внедрение команд в child_process.exec().
• CVE-2025-61591 — RCE в Cursor MCP через установленный через OAuth вредоносный сервер с перехватом spawn-вызова.

Этот пакет предоставляет то, что Anthropic решил не делать: криптографическую проверку того, какие инструменты серверу разрешено предоставлять и какие spawn-вызовы ему разрешено совершать. Это drop-in зависимость, а не замена среды выполнения.

Примечание от нас

Последние два года мы создавали инструменты и системы для себя. То, что этот репозиторий небольшой и у него мало звёзд, — не потому что он новый. А потому, что мы лишь недавно решили поделиться тем, что построили. Это не свежий эксперимент, это длинная история с недавним коммитом.

Мы любим создавать и делиться. Мы не любим тактики из соцсетей, growth-хаки и погоню за звёздами и подписчиками. Поэтому репозиторий небольшой. Код настоящий, он используется, на issues отвечают. Судите сами.

Если он помогает вам — нам помогают распространение, тестирование и обратная связь. Если его можно улучшить — issue полезнее. Если вы создадите что-то на его основе, напишите нам на [email protected]. Это и правда делает наш день.

Из небольшой студии в Пальма-де-Мальорке.

Пакеты (npm workspaces)

Установка

npm install mcp-server-attestation
# CLI:
npm install -g mcp-attest-cli
# Reference MCP server:
npx mcp-attest-demo

Node 20+. Без внешних криптозависимостей — используются примитивы Ed25519 из node:crypto.

Быстрый старт: сервер из пяти строк

import { verifyManifestStrict, attestSpawnStrict, type SignedManifest } from "mcp-server-attestation";
import signed from "./signed/manifest.json" assert { type: "json" };

// 1. At startup: prove the manifest you ship is the manifest you signed.
verifyManifestStrict(signed);

// 2. Before every child_process.spawn:
attestSpawnStrict(signed as SignedManifest, { command, args });

Это вся интеграция. Два вызова функций, никакого SaaS, никакого демона.

Если вы предпочитаете перепроверять подпись при каждом spawn-вызове (эшелонированная защита от того, чтобы непроверенный или подменённый манифест достиг шлюза), используйте вместо этого единый отказоустойчивый вызов — он сначала проверяет подпись, затем аттестует:

import { attestSpawnVerified, type SignedManifest } from "mcp-server-attestation";
attestSpawnVerified(signed as SignedManifest, { command, args });

Инструменты (эталонный сервер mcp-attest-demo)

Аннотации честные: attest_sign_manifest и attest_keygen записывают файлы на диск, поэтому они не только для чтения, но они не уничтожают существующие данные, поэтому destructiveHint остаётся false. См. docs/THREAT-MODEL.md — таблицу возможностей для каждого инструмента.

CLI

mcp-attest keygen --out-dir ./keys --name prod
mcp-attest sign --manifest manifest.json --private-key keys/prod.key --out signed.json
mcp-attest verify --signed signed.json --pin                  # TOFU pin
mcp-attest verify --signed signed.json --sigstore             # opt-in Rekor cross-ref
mcp-attest inspect --signed signed.json --command /usr/bin/echo --arg "hello"
mcp-attest fingerprint --public-key keys/prod.pub
mcp-attest check-pin --server my-server --signed signed.json

verify завершается с кодом 2 при неверной подписи и с кодом 3 при несовпадении пина.

Совместимость со спецификацией MCP

Библиотека не зависит от транспорта. Эталонный сервер работает только через stdio.

Модель безопасности

• Trust-on-First-Use (доверие при первом использовании) — поведение по умолчанию. При первой проверке сервера его открытый ключ закрепляется в ~/.mcp-attest/trust.json (переопределяется через MCP_ATTEST_TRUST_FILE). Последующие проверки отклоняют любой новый ключ для того же имени сервера с ошибкой TRUST_PIN_MISMATCH. Это перехватывает вектор вредоносного обновления в стиле Cursor.
• Нет встроенного списка доверенных ключей. Этот пакет не выполняет роль привратника. Если нужны более строгие гарантии, включите --sigstore, чтобы перекрёстно сверить отпечаток открытого ключа с прозрачным журналом Sigstore Rekor.
• Санитайзер аргументов с политикой default-deny (запрет по умолчанию). shellSafeString блокирует все ASCII-метасимволы оболочки, NUL, CR, LF, VT, FF, NEL, символы нулевой ширины, BOM, переопределения RTL/LTR, изоляторы Trojan Source и fullwidth-латинские конфузабельные символы. Поведение белого списка требует явных типов правил regex / enum / prefix / literal.
• ReDoS-безопасные правила regex. Паттерн правила подписан автором, но значение аргумента контролируется атакующим. Санитайзер статически обнаруживает паттерны, склонные к бэктрекингу (вложенные неограниченные квантификаторы вроде ), и отказывается их выполнять, поэтому один специально сформированный аргумент не может заморозить горячий путь spawn. Правила также имеют ограничение длины ввода (по умолчанию 4096).

Что этот пакет НЕ делает (вне области применения):

• Изоляция процесса сервера в песочнице или контейнере.
• Усиление OAuth-потока (отдельная сборка mcp-oauth-shield).
• Контроль исходящего сетевого трафика.
• Автопатчинг существующих серверов.

Тесты

npm install
npm run typecheck
npm test

Тестовый корпус включает фикстуры воспроизведения CVE-атак (packages/lib/tests/fixtures/cve-2025-69256-payloads.json, cve-2025-61591-payloads.json). Сборка — это регрессионная проверка: каждый payload должен быть заблокирован.

Распространение

• Публикация в npm через GitHub Actions OIDC с флагом --provenance.
• Эталонный сервер размещён в mcp.so и FastMCP Directory.
• Библиотека публикуется отдельно под именем mcp-server-attestation.

О StudioMeyer

StudioMeyer — студия AI и дизайна, базирующаяся в Пальма-де-Мальорке и работающая с клиентами по всему миру. Мы создаём заказные веб-сайты и AI-инфраструктуру для малого и среднего бизнеса. Продакшн-стек: Claude Agent SDK, MCP и n8n, с Sentry, Langfuse и LangGraph для наблюдаемости и собственным защитным слоем.

Лицензия

MIT, © 2026 Matthias Meyer (StudioMeyer). См. LICENSE.