_{Маскарад эпохи Возрождения. Сядьте в кресло агента.}

masq

Сядьте в кресло агента.

CLI, который говорит на MCP и OpenAI-совместимом языке так, как это делает модель, а затем формирует отчёт в стиле linpeas. Находки плюс рекомендации по исправлению. Никаких эксплойт-пейлоадов. Без расшифровки CoT.

Почему это существует

Статические сканеры MCP (Invariant mcp-scan, mcp-security-scan) линтуют схемы и конфиги. Инструменты проверки здоровья пингуют initialize. Дыра — это кресло:

1. Зашифрованные блобы рассуждений эхом возвращаются клиенту и сохраняются в журналах сессий. Они переносимы между сессиями, пользователями и более слабыми родственными моделями (arXiv:2608.09867). Сбор 315 тыс. публичных блобов позволил восстановить 182 учётных данных. masq обнаруживает такие блобы. Он их не декодирует.
2. Значительная доля публичных MCP-серверов не имеет аутентификации. Если вы можете выполнить initialize, вы и есть агент.
3. Локальные порты моделей (:11434, :8000) часто слушают на 0.0.0.0 без bearer-токена.

Колёса, на которых мы едем, а не переписываем: существующие детекторы каталогов + pin/check, netstat, ureq только GET, таксономия находок OWASP MCP Top 10. Мы не клонировали mcp-scan и mcp-security-scan.

Установка

git clone https://gitlab.com/WattoCyber/masq.git
cd masq
cargo install --path .
# binary: masq
cargo test
# expect: exit 0

Мировой набор тестов (бинарник против фикстур, локальных моков, разведки этого хоста):

python scripts/world_suite.py
# field = ~/.grok/sessions  lab = allowlisted hosts  bench = frozen-corpus wall
python scripts/world_suite.py --lanes all

Удалённая машина в стиле Kali, с рабочего стола:

MASQ_REMOTE_HOST=user@host bash scripts/deploy_kali.sh
# on the box:
~/.local/bin/masq --plain
MASQ_LAB_HOSTS=... ~/.local/bin/masq --lab --plain

Счастливый путь

masq                         # live stream + posture report (includes skills)
masq --lab                   # same, plus allowlisted homelab hosts
masq tui                     # boxed TUI, stays until Ctrl+C
masq --plain                 # report only, no live stream
masq --json                  # machine report
masq recon                   # same dump, recon only
masq sniff ~/.grok/sessions  # CoT / secrets in session logs
masq sniff --timeline PATH   # file-order blob/secret/reason lines (no decrypt)
masq api                     # GET /v1/models on local (and --lab) ports
masq sit --url http://127.0.0.1:4443/mcp
masq chameleon --url http://127.0.0.1:4443/mcp -o /tmp/chameleon
masq chameleon --url ws://127.0.0.1:9000/mcp -o /tmp/chameleon
masq chameleon --url unix:///tmp/mcp.sock -o /tmp/chameleon
masq chameleon --token-file ~/.secrets/mcp.txt --url http://127.0.0.1:9/mcp -o /tmp/chameleon
masq chameleon -- python -m their_mcp -o /tmp/chameleon
# then: npx -y @copilotkit/aimock --config /tmp/chameleon/aimock.json
masq discover                # find VS Code / Cursor / Claude / Grok / Hermes MCP configs
masq proxy --upstream http://127.0.0.1:4443/mcp --block
masq sast ./server           # local sinks (semgrep if present)
masq classify --url http://127.0.0.1:4443/mcp --lab
masq overnight --lab --hours 6
masq map --from reports/overnight-YYYYMMDD/latest.json

# catalog
masq fixtures/t3_line_jump.json
masq fixtures/clean_calculator.json --trusted
masq pin fixtures/clean_calculator.json -k calc
masq check fixtures/clean_calculator.json -k calc
masq detectors

Код возврата: 0 чисто · 2 находки ≥ --fail-on (по умолчанию high) · 1 ошибка.

TUI опционален (masq tui или --tui). По умолчанию в tty идёт живой поток в стиле linpeas, затем отчёт. Для cron используйте --plain / --no-color.

Команды

Псевдонимы: doctor / audit → scan. chameleon → mimic. posture → seat.

Модули и OWASP MCP Top 10

Транспорты и аутентификация

sit / chameleon говорят по:

• Streamable HTTP (http://)
• HTTP+SSE (событие GET endpoint, затем POST)
• ws://
• unix: и npipe:
• stdio (--framing auto пробует NDJSON, затем Content-Length)

Аутентификация (никогда не попадает в отчёт):

• --token-file PATH (первая строка становится Authorization: Bearer …)
• --token-env VAR
• --header "Name: value" (повторяемый)

wss:// из коробки нет. Через Stunnel к ws:// или используйте HTTP. HTTP не следует ни за одним редиректом.

Stdio-initialize не анонсирует sampling. Помечайте серверные sampling / elicitation. URL документации (model-catalog.json, /docs/) намеренно игнорируются.

Хосты, которые обнаруживает masq

Корни конфигов и навыков в $HOME / %USERPROFILE%:

VS Code, Cursor, Windsurf, Claude Desktop, Claude Code, Grok, Hermes, Codex, Continue, Gemini CLI, Amp, Kiro, OpenCode, Amazon Q, Antigravity, OpenClaw.

Плюс .mcp.json в текущем каталоге и MASQ_EXTRA_CONFIG (список путей ОС).

Лабораторный allowlist (--lab)

--lab — это allowlist, а не скан /24. Он настраивается оператором. Кроме loopback ничего не зашито в бинарник.

• Переменная окружения MASQ_LAB_HOSTS: host:port или хосты, разделённые запятыми, пробелами или переводами строк.
• Файл .masq/lab-hosts: по одному хосту на строку, комментарии #.

Пример:

export MASQ_LAB_HOSTS="192.0.2.10,192.0.2.11"
masq --lab

MASQ_LAB_HOSTS читается для API-проб и сводки флота в TUI. MASQ_SIT_URLS (или --mcp-url) задаёт MCP-URL для sit с --lab.

sit --url вне loopback требует --lab и хост из allowlist. initialize без аутентификации на loopback — High. Вне машины — Critical.

Не направляйте proxy на хост, на котором вы бы не стали выполнять sit.

Жёсткие ограничения

Приоритет sniff: сначала chat_history.jsonl, затем Hermes request_dump_*, потом остальные jsonl. Обход завершается. Сохраняются не первые 300 результатов WalkDir. Чтобы копнуть глубже, укажите masq sniff <one-session-dir>.

Ночной прогон

masq overnight --lab --hours 6 --interval-mins 20
# writes <cwd>/reports/overnight-YYYYMMDD/{latest.json,latest.md,latest.txt,delta.txt}

Не изменяет конфиги. Не вызывает tools/call на живом сервере. delta.txt содержит baseline / no_change / CHANGE, а также + severity title и - severity title.

classify --llm и надстройка триажа в TUI — единственные POST-запросы completions (Grok /v1/chat/completions, подтверждение оператора). Без ключа — только локальные рекомендации. Ключ берётся из XAI_API_KEY или ~/.secrets/xai.txt. Никогда не выводится.

Архитектура

CLI (clap)  masq
  → seat | recon | sniff | api | sit | chameleon
  → discover | proxy | sast | classify | overnight | map
  → scan | multi | pin | check | detectors | tui
  → client (HTTP / SSE / ws / unix / npipe / stdio)
  → normalize (full-schema walk, caps)
  → detectors + sniff + recon + sit findings
  → report (text / JSON / Markdown) + optional TUI

Библиотечный крейт: masq (scan_from_tools_list, scan_stdio, run_seat, PostureReport).

Честные рамки

Не выгружайте содержимое ~/.secrets. Recon подсчитывает файлы. Путь + «loaded».

Офлайн-тесты

cargo test
cargo clippy --all-targets -- -D warnings

Ожидаемый код возврата 0.

Фикстуры: T1 отравление описания, T3 line-jump, T6 имена параметров, T8 ANSI, T13 дублирующиеся имена, rugpull при пиннинге, multi-list, живой NDJSON-мок в tests/mock_mcp_server.py.

Секреты не попадают в git (reports/, data/, .env, *.key, secrets/, .masq/).

Лицензия

MIT. Авторские права 2026 SamsonCyber.