Локальные API управления агентами: защита хоста от доступа через прокси без аутентификации

Что это

Состояние на 25 октября 2026 года. Заново проверьте бюллетени и документацию по развёртыванию соответствующей службы управления. Подтверждённый пример из прошлого — CVE-2025-49596: в версиях MCP Inspector ниже 0.14.1 отсутствовала аутентификация между клиентом и прокси, что позволяло запускать команды без аутентификации. В бюллетене 0.14.1 указана как исправленная версия. Это пример 2025 года, полезный для современной архитектуры, а не новая CVE, обнаруженная в 2026 году. Бюллетень Inspector.

CWE-306 описывает предоставление критически важных функций без установления личности вызывающей стороны. В случае агентов опасность представляет доступная вспомогательная служба, способная действовать с полномочиями, которых нет у самой песочницы. Это может нарушить предусмотренную изоляцию без уязвимости ядра. Такое применение к архитектуре агентов — вывод для проектирования, а не утверждение, что упомянутый инцидент продемонстрировал конкретный выход из песочницы. CWE-306.

Почему это важно

Привязка к loopback ограничивает сетевую доступность, но не устанавливает, кто именно из локальных клиентов обращается к службе. Спецификация MCP Streamable HTTP требует проверять входящие заголовки Origin, отклонять запрос ответом HTTP 403, если в нём присутствует недопустимый Origin и рекомендует привязку к localhost и аутентификацию. Эти меры дополняют друг друга. Требования к безопасности транспорта.

Актуальная документация веб-клиента Inspector также описывает проверку Host, поскольку некоторые запросы страниц не содержат заголовка Origin. Серверная часть использует токен аутентификации; документация указывает, что токен генерируется при каждом запуске. Поэтому одна проверка источника браузерного запроса не заменяет аутентификацию клиентов, не являющихся браузерами. Документация веб-клиента.

Как применять

• Определите состав службы, которая фактически запускает команды или записывает файлы. Для локально установленных пакетов Inspector выполните npm ls @modelcontextprotocol/inspector --depth=0 в каталоге установки; глобальные установки проверьте отдельно. Сопоставьте пакет с действующим средством запуска, а не предполагайте, что зависимость текущего проекта и есть работающая служба. npm ls.
• Замените затронутые версии Inspector поддерживаемым выпуском с исправлением из 0.14.1. Проверьте и более поздние бюллетени; это историческое исправление не означает, что все последующие сборки свободны от других уязвимостей.
• Привязывайте службы, предназначенные только для локального доступа, к нужным loopback-интерфейсам и проверяйте публикацию портов контейнеров, перенаправление портов и прокси на непреднамеренное раскрытие доступа. Поддерживайте явные списки разрешённых Host и Origin везде, где служба допускает доступ из браузера.
• Требуйте аутентификации для каждой привилегированной операции управления. Для локальной вспомогательной службы, действующей в рамках сеанса, используйте отдельные непредсказуемые учётные данные аутентификации с ограниченным сроком действия и отзывайте их по завершении сеанса. Не допускайте их попадания в доступные агенту файлы, записи взаимодействия и вывод инструментов, если агенту намеренно не предоставлены полномочия для этой службы.
• Проверяйте полномочия на операции отдельно от аутентификации. Ограничивайте выбор исполняемых файлов и корневые каталоги, доступные для записи. Действительный токен не должен автоматически давать неограниченные права администрирования хоста.
• В рамках приёмки проверьте отклонение запросов без аутентификации, с просроченными учётными данными, недопустимыми источниками Origin и неожиданными именами хостов, не вызывая реальных привилегированных операций. Убедитесь, что песочница не может подключиться к ненужному ей слушающему сокету управления. Проверьте действующую схему перенаправления соединений наряду с конфигурацией службы.

Подводные камни

Не считайте случайный порт или обозначение сети как внутренней заменой аутентификации. Не отключайте защиту ради устранения ошибки подключения. Расследуйте необъяснённые дочерние процессы на хосте, сохраняйте журналы службы и агента и пересоздавайте систему из доверенных исходных материалов, если несанкционированное выполнение подтверждено. Замена токена вспомогательной службы не отменяет уже внесённых изменений на хосте.