MCP 观测代理的信任边界漏洞
SwimOrganic8665 · reddit · 2026-07-13
作者在做一个本地优先的 MCP observability 代理时，发现了一个真实的信任边界问题：
- 代理会把 tool call 的原始参数写入本地 SQLite
- 随后的 trace.search 会把这些原始内容原样返回到 agent 可见的 MCP 输出中
- 如果工具参数里包含 API key 或 prompt injection，后续可能被再次暴露给模型
作者随后当天修复了问题：
- 数据库权限改为 0600
- trace.history / trace.search / trace.replay 默认只返回元数据，不再返回原始 payload
- 原始内容必须显式开启 OBSERVERRAWPAYLOAD=1
- 增加基于正则的敏感信息脱敏
- trace 查询限制在当前 session ID
测试者还补了回归测试并合并 PR。作者的核心结论是：agent 可见上下文和操作者本地存储是两条不同的信任边界，不能默认混用。
「编程与Agent」频道最新
- GitHub Next 发布 Chopin:实时多人的 Agent 协作规划环境原型 — max__drake · 2026-10-27
- TMLR 论文：更强推理不等于更充分披露，Agent 思考越多未必告知越全 — SharonYixuanLi · 2026-10-27
- 同一套 DeepSeek 内核两种优化路线：vLLM 拆专家、SGLang 降访存 — AccBalanced · 2026-10-27
- 用 Tailscale 让云端 Grok Bot 在自己 Mac mini 上写代码，全程不开公网端口 — talkaboutdesign · 2026-10-27
- 工程师数月实践：Agent 每次调用重发全量上下文，改一个 token 全额付费 — dscape · 2026-10-27
- Alchemy 支持 Effect Workflow:跨 Durable Objects、Workflows 与 Lambda 持久函数 — samgoodwin89 · 2026-10-27