Servidores MCP que filtran sin querer

El problema

Qué construimos

• Tres servidores MCP con las mismas cuatro herramientas sobre el mismo catálogo: el SDK oficial de Python escrito como se hace habitualmente, una versión Python endurecida con vista pública y cotización en el servidor, y Synsema con etiquetas de flujo de información.
• En los tres, una cuarta herramienta, «agregada después para el equipo de compras», devuelve el registro entero.
• Un banco de pruebas llama cada herramienta en los tres servidores lado a lado, y cualquier cliente MCP (Claude Code, Cursor) se puede conectar.

Resultados

El código, lado a lado

def product_detail(id: int) -> dict:
    """(Added later, for the purchasing team.) Full product detail."""
    return c.find(id)   # the slip: returns the whole record, and nothing prevents it

task load_confidential()
    let raw be json_decode(read_file("./cases/01-mcp-servers/data/catalog.json"))
    let conf be {}
    each p in raw
        set conf[text(p.id)] to {"cost_usd": private(p.cost_usd, "company"), "supplier": private(p.supplier, "company"),
            "min_margin_pct": private(p.min_margin_pct, "company"), "max_discount_pct": private(p.max_discount_pct, "company"),
            "internal_note": private(p.internal_note, "company")}
    give conf

-- (Added later, for the purchasing team.) The same slip as in Python: returns the whole record.
-- In Synsema it never reaches the model: the HTTP response is a public output and refuses labeled fields.
task t_product_detail(args)
    give merge(find(args.id), CONFIDENTIAL[text(args.id)])

Por qué Synsema

• Los valores confidenciales se etiquetan una vez, al cargarlos. Todo lo que se calcula con ellos hereda la etiqueta.
• Toda salida pública (la respuesta HTTP, un log, un archivo) rechaza un valor etiquetado, salvo que el código llame a declassify con un motivo, y ese motivo queda registrado.
• synsema code check lista cada declassify con su línea antes de ejecutar nada. Esa lista es la revisión de seguridad.

Lo que no resuelve

• Las etiquetas son opt-in: el servidor tiene que correr con serve --labels. Sin la bandera, private() falla a propósito en lugar de correr sin protección.
• La propagación es conservadora. Leer campos públicos de una lista que también tiene valores privados da un resultado privado, así que lo público y lo confidencial tienen que vivir en estructuras separadas.
• Una violación responde HTTP 500, no un error JSON-RPC prolijo. No se puede atrapar, porque atraparla filtraría un bit por intento.
• Las etiquetas protegen la confidencialidad, no la autorización. Si cotizar está permitido, el modelo igual puede pedir el descuento máximo.

Compartir