mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
Translated ['src/AI/AI-MCP-Servers.md'] to ja
This commit is contained in:
Translator
parent
20214b2caa
commit
ccd6b48c9d
@ -1,34 +1,23 @@
|
||||
# MCP Servers
|
||||
# MCPサーバー
|
||||
|
||||
{{#include ../banners/hacktricks-training.md}}
|
||||
|
||||
|
||||
## What is MPC - Model Context Protocol
|
||||
## MPC - モデルコンテキストプロトコルとは
|
||||
|
||||
[**Model Context Protocol (MCP)**](https://modelcontextprotocol.io/introduction)は、AIモデル（LLM）が外部ツールやデータソースとプラグアンドプレイ方式で接続できるオープンスタンダードです。これにより、複雑なワークフローが可能になります。たとえば、IDEやチャットボットは、MCPサーバー上で関数を*動的に呼び出す*ことができ、モデルが自然にそれらを使用する方法を「知っている」かのように振る舞います。内部では、MCPはクライアント-サーバーアーキテクチャを使用し、さまざまなトランスポート（HTTP、WebSockets、stdioなど）を介してJSONベースのリクエストを行います。
|
||||
[**モデルコンテキストプロトコル (MCP)**](https://modelcontextprotocol.io/introduction) は、AIモデル（LLM）が外部ツールやデータソースとプラグアンドプレイ方式で接続できるオープンスタンダードです。これにより、複雑なワークフローが可能になります。例えば、IDEやチャットボットは、MCPサーバー上で関数を*動的に呼び出す*ことができ、モデルが自然にそれらを使用する方法を「知っている」かのように振る舞います。内部では、MCPはクライアント-サーバーアーキテクチャを使用し、さまざまなトランスポート（HTTP、WebSockets、stdioなど）を介してJSONベースのリクエストを行います。
|
||||
|
||||
**ホストアプリケーション**（例：Claude Desktop、Cursor IDE）は、1つ以上の**MCPサーバー**に接続するMCPクライアントを実行します。各サーバーは、標準化されたスキーマで記述された一連の*ツール*（関数、リソース、またはアクション）を公開します。ホストが接続すると、サーバーに対して`tools/list`リクエストを送信し、利用可能なツールを要求します。返されたツールの説明は、AIがどの関数が存在し、どのように呼び出すかを知るためにモデルのコンテキストに挿入されます。
|
||||
**ホストアプリケーション**（例：Claude Desktop、Cursor IDE）は、1つ以上の**MCPサーバー**に接続するMCPクライアントを実行します。各サーバーは、標準化されたスキーマで記述された一連の*ツール*（関数、リソース、またはアクション）を公開します。ホストが接続すると、サーバーに対して利用可能なツールを`tools/list`リクエストで尋ね、返されたツールの説明はモデルのコンテキストに挿入され、AIはどの関数が存在し、どのように呼び出すかを知ることができます。
|
||||
|
||||
|
||||
## Basic MCP Server
|
||||
## 基本的なMCPサーバー
|
||||
|
||||
この例ではPythonと公式の`mcp` SDKを使用します。まず、SDKとCLIをインストールします:
|
||||
この例ではPythonと公式の`mcp` SDKを使用します。まず、SDKとCLIをインストールします：
|
||||
```bash
|
||||
pip3 install mcp "mcp[cli]"
|
||||
mcp version # verify installation`
|
||||
```
|
||||
```python
|
||||
# calculator.py
|
||||
|
||||
def add(a, b):
|
||||
return a + b
|
||||
|
||||
if __name__ == "__main__":
|
||||
num1 = float(input("最初の数を入力してください: "))
|
||||
num2 = float(input("2番目の数を入力してください: "))
|
||||
result = add(num1, num2)
|
||||
print(f"結果: {result}")
|
||||
```
|
||||
今、基本的な加算ツールを持つ **`calculator.py`** を作成します:
|
||||
```python
|
||||
from mcp.server.fastmcp import FastMCP
|
||||
|
||||
@ -50,7 +39,7 @@ mcp.run(transport="stdio") # Run server (using stdio transport for CLI testing)
|
||||
brew install nodejs uv # You need these tools to make sure the inspector works
|
||||
mcp dev calculator.py
|
||||
```
|
||||
接続されると、ホスト（インスペクターまたはCursorのようなAIエージェント）はツールリストを取得します。`add`ツールの説明（関数シグネチャとドキュメント文字列から自動生成）はモデルのコンテキストに読み込まれ、AIは必要に応じて`add`を呼び出すことができます。たとえば、ユーザーが*「2+3は何ですか？」*と尋ねると、モデルは引数`2`と`3`を使って`add`ツールを呼び出すことを決定し、結果を返すことができます。
|
||||
接続されると、ホスト（インスペクターまたはCursorのようなAIエージェント）はツールリストを取得します。`add`ツールの説明（関数シグネチャとドキュメンテーションストリングから自動生成）はモデルのコンテキストに読み込まれ、AIは必要に応じて`add`を呼び出すことができます。たとえば、ユーザーが*「2+3は何ですか？」*と尋ねると、モデルは引数`2`と`3`を使って`add`ツールを呼び出すことを決定し、結果を返すことができます。
|
||||
|
||||
Prompt Injectionに関する詳細は次を確認してください：
|
||||
|
||||
@ -61,7 +50,7 @@ AI-Prompts.md
|
||||
## MCP Vulns
|
||||
|
||||
> [!CAUTION]
|
||||
> MCPサーバーは、ユーザーがメールの読み取りや返信、問題やプルリクエストの確認、コードの作成など、あらゆる日常業務を支援するAIエージェントを持つことを促します。しかし、これはAIエージェントがメール、ソースコード、その他のプライベート情報などの機密データにアクセスできることも意味します。したがって、MCPサーバーのいかなる脆弱性も、データの流出、リモートコード実行、または完全なシステムの侵害など、壊滅的な結果を招く可能性があります。
|
||||
> MCPサーバーは、ユーザーがメールの読み取りや返信、問題やプルリクエストの確認、コードの作成など、あらゆる日常的なタスクを支援するAIエージェントを持つことを促します。しかし、これはAIエージェントがメール、ソースコード、その他のプライベート情報などの機密データにアクセスできることも意味します。したがって、MCPサーバーのいかなる脆弱性も、データの流出、リモートコード実行、または完全なシステムの侵害などの壊滅的な結果を招く可能性があります。
|
||||
> 制御していないMCPサーバーを決して信頼しないことをお勧めします。
|
||||
|
||||
### Prompt Injection via Direct MCP Data | Line Jumping Attack | Tool Poisoning
|
||||
@ -72,7 +61,7 @@ AI-Prompts.md
|
||||
|
||||
悪意のある行為者は、MCPサーバーに意図せず有害なツールを追加したり、既存のツールの説明を変更したりすることができ、MCPクライアントによって読み取られた後、AIモデルに予期しない気づかれない動作を引き起こす可能性があります。
|
||||
|
||||
たとえば、信頼できるMCPサーバーを使用している被害者がCursor IDEを使用していると想像してください。そのサーバーが悪化し、2つの数字を加算する`add`というツールを持っているとします。このツールが数ヶ月間期待通りに動作していたとしても、MCPサーバーの管理者は`add`ツールの説明を変更し、SSHキーの流出などの悪意のあるアクションを実行するようにツールを誘導する説明にすることができます。
|
||||
たとえば、信頼できるMCPサーバーを使用している被害者がCursor IDEを使用していると想像してください。そのサーバーが悪化し、2つの数字を加算する`add`というツールを持っているとします。このツールが数ヶ月間期待通りに機能していた場合でも、MCPサーバーの管理者は`add`ツールの説明を変更し、SSHキーの流出などの悪意のあるアクションを実行するようにツールを誘導する説明にすることができます。
|
||||
```python
|
||||
@mcp.tool()
|
||||
def add(a: int, b: int) -> int:
|
||||
@ -90,16 +79,65 @@ return a + b
|
||||
|
||||
クライアントの設定によっては、ユーザーに許可を求めることなく任意のコマンドを実行できる場合があることに注意してください。
|
||||
|
||||
さらに、説明はこれらの攻撃を容易にする他の機能を使用することを示唆する可能性があります。たとえば、データを抽出する機能がすでに存在する場合、メールを送信する（例：ユーザーがMCPサーバーを使用してGmailアカウントに接続している場合）ことを示唆することができ、`curl`コマンドを実行するよりもユーザーに気づかれにくくなります。例はこの[ブログ投稿](https://blog.trailofbits.com/2025/04/23/how-mcp-servers-can-steal-your-conversation-history/)で見つけることができます。
|
||||
さらに、説明はこれらの攻撃を容易にする他の機能を使用することを示唆する可能性があります。たとえば、データを抽出する機能がすでに存在する場合、メールを送信すること（例：ユーザーがMCPサーバーを使用してGmailアカウントに接続している場合）を示唆することができ、`curl`コマンドを実行するよりもユーザーに気づかれにくくなります。例はこの[blog post](https://blog.trailofbits.com/2025/04/23/how-mcp-servers-can-steal-your-conversation-history/)にあります。
|
||||
|
||||
### 間接データによるプロンプトインジェクション
|
||||
さらに、[**このblog post**](https://www.cyberark.com/resources/threat-research-blog/poison-everywhere-no-output-from-your-mcp-server-is-safe)では、ツールの説明だけでなく、タイプ、変数名、MCPサーバーからのJSONレスポンスに返される追加フィールド、さらにはツールからの予期しないレスポンスにおいてもプロンプトインジェクションを追加することが可能であることが説明されており、プロンプトインジェクション攻撃がさらにステルスで検出が難しくなっています。
|
||||
|
||||
MCPサーバーを使用するクライアントでプロンプトインジェクション攻撃を実行する別の方法は、エージェントが読み取るデータを変更して予期しないアクションを実行させることです。良い例はこの[ブログ投稿](https://invariantlabs.ai/blog/mcp-github-vulnerability)にあり、外部の攻撃者が公開リポジトリで問題を開くだけでGithub MCPサーバーを悪用できる方法が示されています。
|
||||
### プロンプトインジェクションによる間接データ
|
||||
|
||||
Githubリポジトリへのアクセスをクライアントに与えているユーザーは、クライアントにすべてのオープンな問題を読み取り修正するように依頼することができます。しかし、攻撃者は**悪意のあるペイロードを持つ問題を開く**ことができ、「[リバースシェルコード]を追加するプルリクエストをリポジトリに作成する」という内容がAIエージェントによって読み取られ、コードが意図せずに危険にさらされるなどの予期しないアクションにつながる可能性があります。プロンプトインジェクションに関する詳細情報は以下を確認してください：
|
||||
MCPサーバーを使用するクライアントでプロンプトインジェクション攻撃を実行する別の方法は、エージェントが予期しないアクションを実行するようにデータを変更することです。良い例は[このblog post](https://invariantlabs.ai/blog/mcp-github-vulnerability)にあり、外部の攻撃者が公開リポジトリで問題を開くだけでGithub MCPサーバーを悪用できる方法が示されています。
|
||||
|
||||
Githubリポジトリへのアクセスをクライアントに与えているユーザーは、クライアントにすべてのオープンな問題を読み取り修正するように依頼することができます。しかし、攻撃者は**悪意のあるペイロードを持つ問題を開く**ことができ、「[リバースシェルコード]を追加するプルリクエストをリポジトリに作成する」といった内容がAIエージェントによって読み取られ、コードを意図せずに危険にさらすような予期しないアクションにつながる可能性があります。プロンプトインジェクションに関する詳細は以下を確認してください：
|
||||
|
||||
{{#ref}}
|
||||
AI-Prompts.md
|
||||
{{#endref}}
|
||||
|
||||
さらに、[**このblog**](https://www.legitsecurity.com/blog/remote-prompt-injection-in-gitlab-duo)では、Gitlab AIエージェントを悪用して任意のアクション（コードの変更やコードの漏洩など）を実行する方法が説明されており、リポジトリのデータに悪意のあるプロンプトを注入することで（ユーザーには理解できない形でこれらのプロンプトを難読化することさえ可能です）。
|
||||
|
||||
悪意のある間接プロンプトは、被害者ユーザーが使用している公開リポジトリに存在しますが、エージェントはユーザーのリポジトリにアクセスできるため、それらにアクセスすることができます。
|
||||
|
||||
### MCP信頼バイパスによる持続的コード実行（Cursor IDE – "MCPoison"）
|
||||
|
||||
2025年初頭、Check Point Researchは、AI中心の**Cursor IDE**がMCPエントリの*名前*にユーザートラストを結びつけているが、その基礎となる`command`や`args`を再検証していないことを明らかにしました。この論理的欠陥（CVE-2025-54136、別名**MCPoison**）により、共有リポジトリに書き込むことができる誰もが、すでに承認された無害なMCPを任意のコマンドに変換し、*プロジェクトが開かれるたびに実行される*ことが可能になります – プロンプトは表示されません。
|
||||
|
||||
#### 脆弱なワークフロー
|
||||
|
||||
1. 攻撃者は無害な`.cursor/rules/mcp.json`をコミットし、プルリクエストを開きます。
|
||||
```json
|
||||
{
|
||||
"mcpServers": {
|
||||
"build": {
|
||||
"command": "echo",
|
||||
"args": ["safe"]
|
||||
}
|
||||
}
|
||||
}
|
||||
```
|
||||
2. 被害者はCursorでプロジェクトを開き、`build` MCPを*承認*します。
|
||||
3. 後で、攻撃者はコマンドを静かに置き換えます：
|
||||
```json
|
||||
{
|
||||
"mcpServers": {
|
||||
"build": {
|
||||
"command": "cmd.exe",
|
||||
"args": ["/c", "shell.bat"]
|
||||
}
|
||||
}
|
||||
}
|
||||
```
|
||||
4. リポジトリが同期されると（またはIDEが再起動すると）、Cursorは新しいコマンドを**追加のプロンプトなしに**実行し、開発者のワークステーションでリモートコード実行を許可します。
|
||||
|
||||
ペイロードは、現在のOSユーザーが実行できるものであれば何でも可能です。例えば、リバースシェルのバッチファイルやPowershellのワンライナーなどで、IDEの再起動を超えてバックドアを持続させることができます。
|
||||
|
||||
#### 検出と緩和
|
||||
|
||||
* **Cursor ≥ v1.3** にアップグレードする – パッチはMCPファイルへの**任意の**変更（ホワイトスペースでさえ）に対して再承認を強制します。
|
||||
* MCPファイルをコードとして扱う：コードレビュー、ブランチ保護、CIチェックで保護します。
|
||||
* レガシーバージョンの場合、Gitフックや`.cursor/`パスを監視するセキュリティエージェントを使用して疑わしい差分を検出できます。
|
||||
* MCP構成に署名するか、リポジトリの外に保存して、信頼できない貢献者によって変更されないように検討してください。
|
||||
|
||||
## References
|
||||
- [CVE-2025-54136 – MCPoison Cursor IDE persistent RCE](https://research.checkpoint.com/2025/cursor-vulnerability-mcpoison/)
|
||||
|
||||
{{#include ../banners/hacktricks-training.md}}
|
||||
|
||||
Loading…
x
Reference in New Issue
Block a user