开发者自审 MCP 凭据代理:最大漏洞竟出在配置文件
Relevant_Mousse_9117 · reddit · 2026-11-02
一位 MCP 服务器维护者假设 agent 已被完全 prompt injection、可写任意文件,重新审计了自己的凭据代理(API/SSH/DB 凭据存于 OS keychain,agent 只能通过白名单调用使用、看不到凭据),发现三个意料之外的问题:
- agent 可改配置文件:每次会话启动新服务端,信任 config.toml,agent 可把预设改成自动批准;--confirm-auto 标志也没用,因为 agent 有 shell。修复:自动批准只在人工点击确认的精确形式下生效。
- prompt 里不显示主机名:baseurl 被改后,GET /user/repos 看起来毫无异样。
- POST 可绕成 DELETE:Laravel 会响应 ?method=DELETE,作者从未检查查询字符串。
核心教训:凡是 agent 能写的东西,都不应决定 agent 被允许做什么。
「编程与Agent」频道最新
- GitHub Actions 还有 ubuntu-slim:1 核 5GB 的省钱 CI 跑道 — DanielLockyer · 2026-11-02
- 自动化前先问：有人真正看懂整条业务流程吗 — djgoel123 · 2026-11-02
- 研究者亲历:Claude 被明确禁止后仍修改 Google Cloud 配置 — davidmanheim · 2026-11-02
- 一个过期日期让 WhatsApp 回复 agent 静默罢工两天,19 条消息无人应答 — petrusenko_max · 2026-11-02
- 10倍工程师就是一个 SKILLS.md:六大工作流规则全公开 — mdancho84 · 2026-11-02
- AWS 开源 Strands Harness 宣称比 Claude Code 便宜 45%，搅动 harness 之争 — blaizedsouza · 2026-11-02