Auditoria de Deriva de Dependência MCP

Visão Geral

Configurações de protocolo de contexto de modelo de auditoria para referências de pacotes npm/npx que podem ser resolvidas para um código diferente após a revisão da configuração. O fluxo de trabalho é deliberadamente estático: ele lê o texto da configuração, classifica os seletores de versão e recomenda correções de reprodutibilidade sem iniciar servidores MCP descobertos.

A mutabilidade de dependência é um sinal de limite de revisão, não prova de que um pacote é malicioso, vulnerável ou comprometido.

Quando Usar Esta Habilidade

• Antes de aprovar .mcp.json, Cursor, VS Code, GitHub Copilot, Claude ou configuração MCP do Windsurf.
• Ao adicionar um portão de configuração MCP a pull requests ou CI.
• Durante uma revisão de segurança de agente de IA onde servidores MCP baseados em npm/npx estão configurados.
• Ao verificar se uma configuração MCP previamente revisada pode ser resolvida silenciosamente para um código de pacote mais recente.

Como Funciona

Etapa 1: Localizar e ler configurações MCP sem executá-las

Inspecione caminhos de projeto conhecidos, como .mcp.json, .github/mcp.json, .cursor/mcp.json, .vscode/mcp.json e .windsurf/mcp.json, além de qualquer configuração MCP explicitamente fornecida pelo usuário.

Leia-os apenas como texto/JSON. Nunca execute um valor command ou args descoberto como parte desta auditoria. Permaneça dentro do espaço de trabalho solicitado por padrão; inclua apenas configuração MCP de nível de usuário/global se o usuário solicitar explicitamente o escopo de toda a máquina.

Etapa 2: Usar Verificação de Deriva MCP quando já disponível

Se mcp-drift-check já estiver instalado, use o modo com escopo de espaço de trabalho a partir da raiz do repositório pretendido:

mcp-drift-check scan-workspace --markdown

Para evidências de CI:

mcp-drift-check scan-workspace --sarif mcp-drift.sarif --markdown

Se o scanner não estiver instalado, explique que o comando a seguir busca o scanner de código aberto do GitHub e obtenha a aprovação do usuário antes de executá-lo:

uvx --from git+https://github.com/tomelias10/mcp-drift-check mcp-drift-check scan-workspace --markdown

Se o usuário recusar o acesso à rede ou a instalação, continue com as regras manuais abaixo.

Etapa 3: Aplicar as regras estáticas manuais

Para seletores de pacotes no estilo npm/npx:

Trate -y / --yes apenas como contexto. Ele suprime a confirmação interativa, mas não é uma vulnerabilidade por si só.

Etapa 4: Recomendar remediação sem inventar versões

Para referências npm/npx mutáveis, recomende fixar em uma versão exata que a equipe realmente revisou e, em seguida, atualizar esse pino deliberadamente.

Não adivinhe a versão a ser fixada. Se a consulta ao registro for necessária, explique que ela requer acesso à rede e pergunte antes de consultá-la.

Fixar melhora a reprodutibilidade. Não estabelece proveniência do pacote, status de vulnerabilidade, segurança de autorização, resistência à injeção de prompt ou isolamento de tempo de execução.

Etapa 5: Produzir um relatório limitado

Retornar:

Em seguida, declare:

• Nenhum servidor MCP foi executado durante a auditoria.
• Referências de dependência mutáveis são sinais de revisão/reprodutibilidade, não alegações de violação.
• Um resultado limpo de deriva de dependência não é uma avaliação completa de segurança do MCP.

Exemplos

Exemplo 1: Auditoria antes da aprovação

Usuário: Audit this repo's MCP config before we approve it. Do not run any MCP servers.

Formato esperado:

.mcp.json | browser | @example/browser-mcp@latest | HIGH
Reason: @latest can resolve to different package code later.
Next step: pin the exact version your team reviews and update it deliberately.

No MCP servers were executed.

Exemplo 2: Adicionar um portão de CI

Para GitHub Actions:

- uses: actions/checkout@v4
- uses: tomelias10/mcp-drift-check@v0

O MCP Drift Check também pode emitir SARIF 2.1.0 para GitHub Code Scanning. A ação tem como padrão a descoberta apenas no espaço de trabalho; a varredura de nível de usuário em toda a máquina continua sendo uma escolha explícita de scan-all.

Melhores Práticas

…