Линтер для MCP нашёл баги в официальных серверах Anthropic: от 38 до 90 баллов из 100

MCP (Model Context Protocol, протокол контекста моделей) работает как универсальная розетка: через него нейросеть получает доступ к вашим файлам, базам данных и сервисам. Разработчики массово подключают к нему Claude Desktop, Claude Code, Cursor и ИИ-агентов, то есть программы, которые сами выполняют действия по цепочке. При этом, по словам автора разбора, инструментов для тестирования и статического анализа протокола в экосистеме практически не было.

Чтобы закрыть этот пробел, он написал mcp-linter. Линтер (программа-контролёр, которая ищет ошибки, не запуская сами действия) проверяет сервер по 34 правилам и выставляет оценку.

Четыре ошибки, которые незаметно ломают MCP-сервер

Локальные серверы обычно общаются с клиентом через stdio, стандартные потоки ввода и вывода, похожие на две трубы между программами. По одной трубе, stdout, разрешено отправлять только сообщения в формате JSON-RPC 2.0 (строгий формат обмена командами между программами). Служебные сообщения идут по другой, stderr.

Автор выделяет четыре типичные ошибки:

• Мусор в stdout. Одна строка console.log с текстом вроде «Connected to DB» вешает клиент: Claude Desktop не может разобрать её как команду и падает или молча закрывает соединение. Все логи и отладочные сообщения обязаны идти в stderr через console.error.
• Тихие удаления. Если у инструмента, который удаляет файлы или пользователей, нет аннотации destructiveHint со значением true, агент считает действие безопасным и вызывает его без подтверждения человека.
• Отравленные описания. Описание инструмента попадает прямо в контекст модели. Злоумышленник может спрятать туда промпт-инъекцию (скрытую команду для нейросети), например приказ отправить историю переписки на чужой сайт.
• Пустые схемы. Если у параметра нет описания, модель угадывает формат по названию поля. По словам автора, это увеличивает процент галлюцинаций аргументов (когда ИИ уверенно подставляет выдуманные значения) в разы.

Что понадобится для проверки?

• Установленный Node.js, среда для запуска программ на JavaScript.
• Терминал, то есть командная строка.
• Команда, которой вы запускаете свой MCP-сервер.
• Предварительная установка не нужна: утилита запускается через npx, загрузчик пакетов из каталога npm.

Утилита не тянет сторонних пакетов, только встроенные модули Node.js. Автор объясняет это защитой от атак через цепочку поставок, когда вредоносный код приходит вместе с чужой библиотекой.

Пошаговая инструкция: проверка сервера одной командой

1. Посмотрите, как выглядит отчёт, на встроенных тренировочных серверах. Чистый получает A+, уязвимый с промпт-инъекцией получает F.

npx mcp-linter -- npx mcp-linter mock clean
npx mcp-linter -- npx mcp-linter mock vulnerable

1. Запустите проверку своего сервера, подставив после двух дефисов свою команду запуска.

npx mcp-linter -- node ./dist/server.js

1. Изучите оценку здоровья сервера: шкала от 0 до 100, буквы от A+ до F. Линтер запускает сервер в отдельном процессе, запрашивает списки инструментов, ресурсов и промптов и закрывает его. Сами инструменты он не вызывает, данные не страдают.

2. Получите готовые исправления. Флаг fix строит патчи для пропущенных аннотаций и схем.

npx mcp-linter --fix -- node ./dist/server.js

1. Внесите исправления и запустите проверку ещё раз. Для команд на GitHub линтер умеет выдавать отчёт в формате SARIF v2.1.0, который понимает вкладка безопасности репозитория.

Показательно, что слабее всех оказался сервер, который даёт модели доступ к файлам на диске. И ни одна находка в трёх официальных серверах не про взлом: все они про недостающие описания и инструкции.

Что делать с этим прямо сейчас, по ролям

Автору Дзена, который подключил нейросеть к своим папкам с черновиками: попросите знакомого разработчика прогнать сервер через линтер. Особенно если агенту разрешено удалять или перезаписывать файлы.

Маркетологу, который настраивает агентов на рассылки и выгрузки: проверьте, что отправка писем и удаление данных требуют подтверждения человека. Это защищает от массовой рассылки по ошибке модели.

Предпринимателю в РФ и СНГ: линтер работает локально на вашем компьютере и не отправляет данные во внешний сервис. Из доступных в РФ ИИ-сервисов есть YandexGPT и GigaChat, но поддержку MCP у них источник не обсуждает.