MCP 防外泄代理 bouncer:攻击 48/164 清零,代价是误拦正常发送
eccentric_ez · reddit · 2026-11-05
开发者发布了开源(MIT,pypi 可装)的 bouncer-mcp:一个位于 MCP 客户端与服务器之间的代理,用纯 Python 规则(无 LLM 判断)检查每个工具调用——如果发送/分享的目标地址「最先出现在工具输出里」(如邮件、工单、文档),一律拒绝;无法判断来源时通过 elicitation 询问用户。
实测效果(agentdojo workspace,gpt-4o-mini,固定攻击):
- 攻击成功率从 48/164 降到 0/163——但作者坦承 0 的主要原因是「按构造拒绝了一切发送」,包括合法的
- 无攻击时,6 个需要发邮件/分享文件的任务从 4/6 完成掉到 0/6
踩坑复盘:
- 两个任务失败是因为用户手动输入的地址恰好也出现在工具输出里
- 有用户报告子串误匹配:[email protected] 出现过,[email protected] 就被拒;已改为全地址匹配(fail closed,不是绕过,是误拒)
作者当前卡点是误报率,征询社区:你们的收件地址通常来自用户还是 agent 读到的内容?客户端是否支持 elicitation?这篇诚实复盘对做 agent 安全策略的人很有参考价值:粗粒度 fail-closed 规则能有效堵住外泄,但可用性代价要提前设计好。
「编程与Agent」频道最新
- 开发者实测：pi 编码工具新机默认模型已是 Opus 4.8 — lucasmeijer · 2026-11-05
- Kylon 把全团队和 agent 拉进同一房间,每个应用配独立 Neon 分支 — jefrankle · 2026-11-05
- 「评测胜过感觉」：热议中观点称无 eval 数据的 agent 方案都只是猜 — annetgriffin · 2026-11-05
- 赢下 OpenAI 黑客松进 YC,团队发布围绕 Agent 打造的新手机 Raven — ycombinator · 2026-11-05
- 开源 Mac 神器知了 Cicada:实时同传+AI 会议纪要,月免费 50 小时 — dotey · 2026-11-05
- IBM 推出 AI 编程助手「IBM Bob」,社区直呼名字太搞笑 — zeeg · 2026-11-05