研究:16% MCP 服务器越权碰文件系统,agent 沙箱根本罩不住
SirRobinBlibs · reddit · 2026-10-30
作者结合各工具文档与新论文指出:编码 agent 的沙箱默认不覆盖 MCP 服务器——Claude Code 明确将本地 MCP 服务器列为「以你的完整权限运行」的进程,Codex 也称 MCP 服务器使用自己的进程或传输。
- arXiv 论文(2610.22301)称之为「文件系统能力洗白」:看似窄用途的工具可被不可信内容注入的参数引导,读 job 范围外的文件。典型案例是 Git 服务器的 gitadd 不限制路径,../../.ssh/ided25519 可被暂存并 diff 出来(CVE-2026-27735,已在 mcp-server-git 修复)。
- 数据:筛查 4,806 个服务器,787 个(16.4%)非文件系统服务器却拥有文件系统能力(粗筛信号);动态测试确认 150 个实例、13 个安全通告,OS 级沙箱策略均能阻断利用且不影响正常调用。
作者建议:1) 只读项目的服务器放进容器(--network none、:ro 挂载、按 digest 固定镜像);2) 每个服务器用 env 配独立窄权限 token,Claude Code 可开 CLAUDECODESUBPROCESSENVSCRUB=1 剥离 Bash/hooks/stdio MCP 的凭据;3) 整个 agent 级沙箱(容器/VM/独立用户)一并覆盖服务器和 hooks;4) 升级 Python mcp SDK 修复 Streamable HTTP 资源耗尽漏洞(GHSA-84m7-p3x7-pcfv)。
「编程与Agent」频道最新
- 博主晒 6 个 agent 全自动运营 X 账号：从选题到复盘不重样 — VibeMarketer_ · 2026-10-30
- Weaviate 推出慢查询日志:定位混合检索延迟瓶颈的分步方法 — CShorten30 · 2026-10-30
- 开源替代 Claude Duet:Open Duet 上线市场,GitHub 6.3k 星 — matchaman11 · 2026-10-30
- OpenClaw 完成 Trail of Bits 安全审计：确认 23 个漏洞已全部修复 — steipete · 2026-10-30
- Supabase 用户破 1300 万，约 70% 新增活动来自 AI Agent — ycombinator · 2026-10-30
- 零 eval 起步没问题:先定 UX,再和领域专家共建评测集 — Al_Grigor · 2026-10-30