MCP 工具曾绕过 agent 审批门,Atomic Agent 公开修复方案
GapNew4766 · reddit · 2026-10-13
开源 agent 项目 Atomic Agent 自曝安全漏洞:内置的文件写入和 shell 命令会等待用户审批,但同样的写操作经 MCP 服务器代理却直接执行。根因是一个误导性配置——默认的 trust: "approvalgated" 看似表示需审批,实际只是调度约束,文档却声称 MCP 调用会经过审批门。外部贡献者在 v0.3.1 发现该漏洞(issue #132),8 月 31 日修复。
新规则
- 工具只有在 discovery 阶段标注 readOnlyHint === true(严格布尔)才能免审批运行;缺失、畸形或字符串 "true" 一律 fail closed。
- 判定在注册时一次性做出,后续服务器消息无法把工具改成只读。
- 特意不采用 destructiveHint === false:不销毁数据的工具仍可能以你的名义发消息、开工单。
- 并行批量调用也不信任该标注,因为那是第三方代码。
Composio 集成
为避免把上千个工具 schema 塞进本地模型 prompt,通过 Composio 工具路由器接入,只暴露 4 个元工具:SEARCHTOOLS 和 GETTOOLSCHEMAS(只读免审批)、MANAGECONNECTIONS 和 MULTIEXECUTETOOL(破坏性需审批)。模型先搜索、拉取所需 schema,只有真正执行动作的调用才等用户确认。注意需要自己的 Composio key,且为托管服务,OAuth token 会经过其服务器。
迁移与其他
atomic-agent import claude-code 可导入 MCP 服务器(注意配置在 /.claude. 而非目录内)、skills、记忆和会话,支持 --dry-run,API key 需显式 --migrate-secrets。Fusion 模式下规划模型把所有 MCP 工具视为可变更操作。作者向 MCP server 开发者提问:你们会正确设置 readOnlyHint 吗?
「编程与Agent」频道最新
- X 推出统一订阅：Grok、Cursor 与 X Premium 一份订阅全打通 — SpaceXSI · 2026-10-13
- 开发者用本地 GLM 重构、前沿模型验证、mythos 加固的小工作流 — HankYeomans · 2026-10-13
- Alchemy 适配 Cloudflare 生日周：Durable Objects 可绑定多个容器 — samgoodwin89 · 2026-10-13
- DUET 论文：评分器与 Agent 同步进化，Finance Agent 达 96.5% — dair_ai · 2026-10-13
- Summer 推出 Game Audio Maker:一句指令给游戏生成 AAA 级音效 — garrytan · 2026-10-13
- Seroter 阅读清单:别再乱装 skills,agent 治理比工具调用更关键 — rseroter · 2026-10-13