MCP entegrasyonu

Uyumluluk: Pactmark 0.2.x. @pactmark/mcp, test edilmiş stdio ve Streamable HTTP taşımalarını destekler. Üretim düzeyi bir SandboxAdapter olmadan stdio yalnızca önizlemedir.

Buradaki her şeyi yöneten kural

Keşif asla yetki vermez.

Bir MCP sunucusu size neyi sunduğunu söyler. Ajanınızın neye izinli olduğunu söylemez. Bunlar ayrı olgulardır ve Pactmark bunları ayrı tutar: keşfedilen meta veri, bir araç modele gösterilmeden önce doğrulamayı geçmesi gereken güvenilmez bir girdidir. Şekil 1. Bu sayfanın konusu 6 numaralı sınırdır. Bir sunucunun size gönderdiği her şey — araç adları, şemalar, açıklamalar, sayfalama imleçleri, süreç çıktısı — güvenilmeyen tarafta gelir.

Bir sunucuyu sabitlemek

Host yapılandırması kimliği ve yetenekleri sabitler. Hiçbir şey çıkarsanmaz:

const server = {
  id: "docs-search@1",
  transport: {
    kind: "http",
    origin: "https://mcp.internal.example.com", // tam HTTPS origin
    allowRedirects: false,
    credentialSlot: "mcp.docs",
  },
  protocol: { version: "2025-06-18" },
  allowedTools: ["search_documents", "get_document"],
  limits: {
    maxDiscoveryPages: 4,
    maxResponseBytes: 512_000,
    requestTimeoutMs: 5_000,
  },
};

Tam origin

Trafik, egress aracısı üzerinden tek bir normalize edilmiş HTTPS origin’e gider. Çapraz-origin yönlendirmeler reddedilir.

Origin'e bağlı kimlik bilgileri

Bu origin için verilmiş bir kimlik bilgisi başka bir origin’e karşı tekrarlanamaz.

Açık araç izin listesi

Yeni bir araç sunmaya başlayan bir sunucu ajanınıza erişim kazanmaz.

Sınırlı sayfa ve bayt

İmleç döngüleri ve aşırı büyük yanıtlar emilmez, sonlandırılır.

stdio taşıması

Stdio daha katıdır, çünkü yerel bir süreçtir:

Gereklilik	Nedeni
Mutlak yürütülebilir yolu	`PATH` çözümlemesi yok, shim değiştirme yok
Sabit argüman listesi	Keşfedilen içerikten enterpolasyon yok
Minimal ortam	Alt süreç sırlarınızı devralmaz
Sınırlı çıktı ve süre	Konuşkan veya takılmış bir sunucu host’u tüketemez
Garantili temizlik	Öksüz süreçler bir kaynak tükenmesi yoludur

Üretim düzeyi bir SandboxAdapter olmadan stdio MCP’yi yalnızca önizleme olarak değerlendirin. Yerel bir süreç, sizin süreç ayrıcalıklarınızla rastgele kod yürütmedir ve referans konteyner fixture’ı açıkça üretim izolasyonu değildir — bkz. Sandbox sınırı.

Ne, ne zaman kapalı biçimde başarısız olur

Bunların hepsi, bir araç modele görünür hâle gelmeden önce reddedilir:

Hatalı biçimli keşif sayfaları

Doğrulanmayan bir yanıt kısmen güvenilir sayılmaz.

Yinelenen araç kimlikleri

Aynı kimliği iddia eden iki araç bir hatadır, son-yazan-kazanır yarışı değil.

İmleç döngüleri

Sonlanmayan sayfalama, sınırlı sayfa limitine çarpar.

Bilinmeyen risk meta verisi

Risk sınıfını yorumlayamadığınız bir araç gösterilmez. Bilinmeyen, hayır demektir.

Şema sapması

Mevcut bir kayıt altında şeması değişmiş bir araç artık özetiyle eşleşmez.

Bir MCP aracını Pactmark’a eşlemek

Bir MCP aracı Pactmark ToolSecurity beyanıyla gelmez — onu siz yazarsınız. Amaç da budur: risk sınıfını, veri sınıflarını, kapsamları, egress duruşunu ve sınırları siz iddia edersiniz ve politikanın zorladığı şey sizin iddianızdır.

const searchDocuments = registerMcpTool({
  server,
  remoteName: "search_documents",
  id: "docs.search@1",
  implementationVersion: "1.0.0",
  input: searchInput,
  output: searchOutput,
  security: {
    riskClass: "R1",
    dataClasses: ["internal"],
    reversibility: "not_applicable",
    requiredScopes: ["docs:search"],
    egress: {
      mode: "allowlist",
      destinations: ["https://mcp.internal.example.com"],
      methods: ["POST"],
      credentialSlots: ["mcp.docs"],
    },
    networkEnforcement: "required",
    maxCallsPerRun: 6,
    timeoutMs: 5_000,
  },
});

Dönen içeriği düşmanca sayın

Araç çıktısı üzerinden dolaylı prompt injection, tehdit modeli satırı TM-02’dir ve kritik olarak derecelendirilmiştir. Kontroller metinsel değil yapısaldır:

dönen içerik bağlama açık bayt sınırları altında kabul edilir;
hiçbir yetki taşımaz ve bir grant oluşturamaz;
bir egress hedefi seçemez;
amaç, veri sınıfı ve egress profilleri içeriğinkiler değil iş emrininkiler olarak kalır.

Kabul edilmiş verinin içindeki anlamsal manipülasyon bir model riski olarak kalır. Pactmark patlama yarıçapını sınırlar; bir modeli ikna edilemez kılmaz.

Ne test edilmeli

// Hatalı biçimli keşif yanıtı → araç gösterilmez.
// Yinelenen araç kimliği → kayıt reddedilir.
// İmleç döngüsü → sınırlanır ve sonlandırılır.
// Başka bir origin'e yönlendirme → reddedilir.
// İkinci bir origin'e karşı kimlik bilgisi tekrarı → reddedilir.
// Mevcut kayıt altında şema sapması → özet uyuşmazlığı.
// Çağrı ortasında iptal → süreç temizlenir, öksüz kalmaz.

Tehdit modeli

TM-14 satırı kötü niyetli MCP meta verisini, sapmayı, imleç döngülerini ve taşıma yönlendirmelerini kapsar.

Sandbox sınırı

Referans konteynerin neden izolasyon değil bir test fixture’ı olduğu.

Başlarken

Temel kavramlar

Rehberler

Dağıtım

Üretim

Güvenlik

Buradaki her şeyi yöneten kural

Bir sunucuyu sabitlemek

Tam origin

Origin'e bağlı kimlik bilgileri

Açık araç izin listesi

Sınırlı sayfa ve bayt

stdio taşıması

Ne, ne zaman kapalı biçimde başarısız olur

Bir MCP aracını Pactmark’a eşlemek

Dönen içeriği düşmanca sayın

Ne test edilmeli

Tehdit modeli

Sandbox sınırı

​Buradaki her şeyi yöneten kural

​Bir sunucuyu sabitlemek

Tam origin

Origin'e bağlı kimlik bilgileri

Açık araç izin listesi

Sınırlı sayfa ve bayt

​stdio taşıması

​Ne, ne zaman kapalı biçimde başarısız olur

​Bir MCP aracını Pactmark’a eşlemek

​Dönen içeriği düşmanca sayın

​Ne test edilmeli

Tehdit modeli

Sandbox sınırı

Buradaki her şeyi yöneten kural

Bir sunucuyu sabitlemek

stdio taşıması

Ne, ne zaman kapalı biçimde başarısız olur

Bir MCP aracını Pactmark’a eşlemek

Dönen içeriği düşmanca sayın

Ne test edilmeli