Ogni server MCP nella sua gabbia.

• Chiude il server in un contenitore

  Ogni server parte in un contenitore Docker senza rete, con il disco in sola lettura e senza accesso alla tua cartella home. Vede solo le cartelle che scegli tu, in sola lettura se non dici altrimenti.

  mcpcage run

• Fissa gli strumenti al primo uso

  La prima volta registra la definizione di ogni strumento. Se un aggiornamento la cambia, la sessione si blocca e nessuna chiamata arriva al server finché una persona non guarda la modifica e la approva.

  mcpcage diffmcpcage approve

• Indica i segni di istruzioni nascoste

  Sotto ogni modifica elenca le parti che sembrano ordini nascosti, per esempio tag rivolti al modello, percorsi di file segreti, richieste di non dire niente all'utente o caratteri invisibili. Le regole sono fisse e niente viene mandato fuori dal computer.

  mcpcage protect --inspect

• Tiene un registro a catena

  Ogni voce del registro contiene l'impronta di quella precedente, così mcpcage audit verify si accorge se qualcuno ha cambiato o cancellato delle voci. Delle chiamate salva il nome dello strumento e l'impronta degli argomenti, mai i loro valori.

  mcpcage audit verify

client:     MCP error -32001: mcpcage blocked tools/list: tool definitions of "demo-notes" changed
            since they were approved (rug-pull protection). 3 high-severity signs of hidden
            instructions. Run `mcpcage diff demo-notes`.

$ mcpcage diff demo-notes
~ tool "add_note" changed since it was approved
    ! HIGH    conceal-from-user  description: "Do not tell the user"       asks the model to hide something from you
    ! HIGH    hidden-tag         description: "<IMPORTANT>"                a tag that hides instructions for the model
    ! HIGH    sensitive-path     description: "~/.ssh/id_rsa"              points at a secret file
    ! MEDIUM  before-using       description: "Before calling this tool"   adds an action to every call of this tool
    3 high-severity signs of hidden instructions in "add_note"

1. Installa

   npm install -g mcpcage Copia

   Serve Docker acceso e Node.js 22 o successivo.

2. Guarda cosa gira senza gabbia

   mcpcage protect Copia

   Legge le configurazioni dei client installati e dice quali server girano senza gabbia e cosa possono raggiungere. Segnala anche i segreti scritti in chiaro. Le configurazioni restano come sono.

3. Mettili in gabbia

   mcpcage protect --fix Copia

   Prima mostra cosa sta per fare e chiede conferma, poi mette in gabbia i server avviati con npx o uvx. Accanto a ogni file che cambia lascia una copia di backup, e mcpcage unwrap rimette i comandi originali.

Legge le configurazioni di Claude Desktop, Claude Code, Cursor, VS Code, Windsurf, Devin e GitHub Copilot CLI. Le istruzioni complete, in inglese, sono nel README del progetto.

Codice aperto

Tutto il codice è pubblico, con licenza Apache-2.0.

LICENSE

Nessuna dipendenza

Il pacchetto non porta con sé altre librerie quando lo usi.

package.json

Pubblicazione tracciata

Dalla versione 0.6.3 ogni rilascio arriva su npm dalla build pubblica su GitHub, senza chiavi salvate (trusted publishing), con la provenienza e un'attestazione firmata della build. Dalla 0.6.4 ogni rilascio resta in attesa finché il responsabile non lo approva con la verifica in due passaggi.

CHANGELOG · npm · release.yml

OpenSSF Scorecard

Il progetto è valutato dallo Scorecard di OpenSSF, che controlla le pratiche di sicurezza del repository.

Scorecard

63 server provati

Sono stati provati in gabbia i 24 server MCP avviati con npx più scaricati da npm, su macOS, Windows e Linux, e i 39 server Python avviati con uvx più scaricati da PyPI, su macOS e Linux. Con le impostazioni di partenza 22 dei 24 si avviano ed elencano i loro strumenti, mentre 2 hanno bisogno della rete. Dei 39, su Linux, 27 si avviano, 3 hanno bisogno della rete, 3 non hanno i pacchetti già pronti che la gabbia richiede e 6 si fermano per motivi loro, per esempio perché controllano le credenziali all'avvio.

compatibility.md

Prove ogni settimana

Ogni settimana le parti che leggono dati non fidati o decidono cosa è sicuro ricevono 20.000 input generati a caso per ogni prova (fuzzing), e il codice viene modificato apposta, una piccola modifica alla volta, per vedere se le prove se ne accorgono (mutation testing).

fuzz.yml · mutation.yml

Avvisi pubblici

Il progetto pubblica avvisi di sicurezza su GitHub. Finora sono cinque: tre corretti nella versione 0.6.2, uno nella 0.6.4, uno nella 0.7.0.

Avvisi di sicurezza

Segnalazioni

Chi trova una vulnerabilità la segnala in privato, come spiega la politica di sicurezza del progetto.

SECURITY.md

• Si fida di Docker e del kernel. Una vulnerabilità di Docker o del kernel che fa girare i contenitori può aprire la gabbia.
• Non filtra la rete. La rete è tutta chiusa o tutta aperta. Un server che ne ha bisogno, aperto con --allow-net, può mandare dati dove vuole.
• Si fida della prima lista di strumenti. La prende per buona senza chiedere, a meno che tu non usi --strict, che chiede un'approvazione esplicita anche la prima volta.
• Non blocca le risposte. Le regole leggono anche i risultati degli strumenti e annotano nel registro i segni che trovano, ma non li fermano, quindi l'assistente riceve quello che il server ha mandato.
• Costruisce la gabbia solo per i server avviati con npx o uvx. Un server Python deve avere i pacchetti già pronti (wheel): uno che si installa solo dai sorgenti viene rifiutato, perché installarlo farebbe girare il suo codice. Gli altri e i server remoti mcpcage protect li elenca ma non li cambia; un server che è già un'immagine Docker si avvia con --image.

Il modello delle minacce del progetto, THREAT-MODEL.md, descrive questi limiti per intero (in inglese).