Deadbugz：承認後にMCPツールのメタデータが変化

ソースコード比較：脆弱 vs 堅牢化

報告はメタデータ汚染とpull requestによる配布を説明しており、MCP仕様のCVEではありません。初回承認後もサーバーの変更可能な説明を信頼し続けるとリスクが生じます。Pillarは活動を公開GitHubアカウントに帰属させています。本記事ではPillarによる帰属として記し、実在人物の確認済み身元とは扱いません。Pillarは調査対象のPRが当時GitHubのPR機能でマージされていなかったと述べ、後続侵害も確認していません。参照されたソースリポジトリは現在404のため、技術的な記述はPillarの公開分析に基づき、コードツリーを再取得して独立確認したものではありません。Python例はクライアント側の防御方針を示すもので、MCPライブラリの置き換えコードではありません。CWE-829は編集上の分類で、CVEとCVSSはありません。 アダプターはMCP変更通知後にデータを再取得し、tools/list と prompts/get の両方を含めます。metadata_snapshot は説明用のアダプターメソッドで、MCP SDK APIではありません。approved_digest は運用者の確認後にのみ作成します。 スナップショットには tools/list の定義と承認済みプロンプトの完全な prompts/get 内容を含む、関連するすべてのサーバーメタデータが必要です。実行直前に再取得し、不一致なら処理を止めます。この検査ではサーバー動作の変更や検査と使用の間の変更は検出できないため、独立したアクション権限も必要です。^{[1], [4], [5]}

def agent_metadata(session):
    # アダプターはサーバーの現在のツールとプロンプトを JSON データとして返す。
    return session.metadata_snapshot()

import hashlib
import hmac
import json

def fingerprint(snapshot):
    normalized = dict(snapshot)
    for key in ("tools", "prompts"):
        normalized[key] = sorted(
            snapshot[key],
            key=lambda item: json.dumps(item, sort_keys=True, separators=(",", ":")),
        )
    canonical = json.dumps(normalized, sort_keys=True, separators=(",", ":"))
    return hashlib.sha256(canonical.encode()).hexdigest()

def agent_metadata(session, approved_digest):
    current = session.metadata_snapshot()
    if not hmac.compare_digest(fingerprint(current), approved_digest):
        raise PermissionError("MCP metadata changed; require operator approval")
    return current