Açık kaynak Rohan gateway'i, context sızıntılarını önlemek için MCP tool argümanlarını RAM'de izole ediyor

Rohan adlı açık kaynak bir proje, Hacker News'te Model Context Protocol (MCP) için geliştirilen bir güvenlik gateway'i ile dikkat çekti. Bu gateway, API anahtarları ve veritabanı şifreleri gibi hassas tool-call verilerinin LLM context window'larına ve çıkarım (inference) loglarına sızmasını önlemeyi hedefliyor. Kod GitHub'daki rohan-protocol/sdk deposunda yaşıyor ve npm üzerinde @rohan-protocol/mcp paketi olarak yayınlanıyor. Proje, mevcut sürümü 0.6.0 numaralı bir public beta olarak tanımlıyor.

Hedeflediği sızıntı

MCP, yapay zeka agent'larının harici tool'ları çağırmasını sağlayan protokoldür. Deponun README'sine göre, TLS gibi transport şifrelemesi verileri yalnızca sistemler arasında hareket halindeyken koruyor. README, host sınırında standart MCP tool çağrılarının düz metin olarak işlendiğini, bu yüzden argüman olarak geçirilen kimlik bilgilerinin konuşma context'ine ve çıkarım loglarına akabildiğini ve orada sızdırma saldırıları ile prompt-injection saldırılarına açık kaldığını savunuyor. Bu sorun sınıfı, agent güvenliğini takip eden herkese tanıdık: bir agent'ın bir tool'a gönderdiği ya da ondan aldığı her şey, modelün görünür context'inin bir parçası haline gelir.

Gateway nasıl çalışıyor

Rohan, stdio üzerinde standart bir MCP server olarak çalışıyor ve tek satırlık bir npx komutuyla Claude Desktop, Cursor ve Windsurf gibi client'lara eklenebiliyor. Ham argümanları iletmek yerine, README'ye göre çağrının niyetini özetleyan 32 baytlık bir kriptografik commitment üreten ve durum geçişlerini gas'sız bir relayer aracılığıyla Midnight blockchain'ine sabitleyen tek bir tool kaydediyor: rohan_zk_handshake.

README'de açıklanan savunma işinin büyük kısmını iki mekanizma yapıyor. Projenin semantic firewall adını verdiği bir içerik filtresi, payload'ları yürütmeden önce inceliyor ve saldırganların gizli talimlar kaçırmak için kullandığı görünmez Unicode karakterleri de dahil olmak üzere U+200B ile U+200D ve U+FEFF aralığındaki sınırlar dışı içeriği temizliyor. Ardından bir bellek silme rutini, özel verileri tutan buffer'ları sıfır baytlarla üzerine yazıyor; proje hiçbir noktada diske yazım ve swap dosyası maruziyeti olmadığını iddia ediyor.

Depo bir monorepo olarak yapılandırılmış: bir MCP server paketi, relayer client'ı ile birlikte çekirdek commitment motoru, yürütmeyi Web Worker'ların içinde izole ederek kötü niyetli tarayıcı eklentilerine karşı savunma yapan browser hook'ları ve Midnight'i hedefleyen smart contract'lar. Yayınlanan bir tehdit kaydı ayrıca uzun ömürlü server-sent-event bağlantılarının chunked, scale-to-zero HTTP streaming ile değiştirilmesi gibi risk azaltıcı önlemleri listeliyor.

Durum ve uyarılar

Zero-knowledge markasına rağmen, gerçek ZK bileşeni henüz mevcut değil. README, client tarafındaki WASM ZK-SNARK kanıt devrelerinin hala araştırma aşamasında olduğunu ve 0.6.0 sürümünün bunun yerine RAM izolasyonuna, firewall'a ve bellek sıfırlamaya dayandığını belirtiyor. Kriptografik temeller, projenin Zenodo üzerinden yayınladığını söylediği bir makalede ortaya konuyor, ancak dokümantasyonun hiçbir yerinde bağımsız bir güvenlik denetiminden bahsedilmiyor. Varsayılan client yapılandırması ayrıca proje tarafından işletilen barındırılmış bir relayer'ı gösteriyor; yani kod MIT lisanslı ve self-hosted çalıştırılabilir olsa da dağıtımlar o uç noktaya güvenmek durumunda. Kısacası, güvenlik iddiaları yazarların kendi iddiaları ve gateway erken aşamada.

Neden önemli

MCP'nin benimsenmesi hızla büyüyor ve agent'lar her tool çağrısında giderek artan ölçüde kimlik bilgileri, token'lar ve özel verilerle çalışıyor. Protokolün kendisi bu değerlerin bir injection'ın veya kaydedilmiş bir transcript'in onları açığa çıkarabileceği bir context window'a düşmesini engelleyen çok az şey içeriyor. Rohan'ın spesifik tasarımı ayakta kalıp kalmayacak mı — ve kanıtlanmamış ZK hedefleri ile blockchain bağımlılığı şüpheyi davet ediyor — etmeksizin, proje gerçek bir boşluğa işaret ediyor: agent runtime'ları ile tool'ları arasındaki sınır, başlı başına bir güvenlik yüzeyi haline geliyor. Gateway tarzı proxy'ler, sandbox içinde argüman işleme ve injection filtreleme, agent yığınlarının standart bileşenleri olmaya hazırlanıyor gibi görünüyor ve bunun gibi erken projelara, hazır kurulum garantileri olarak değil, incelenmeye değer deneyler olarak yaklaşmak en doğrusu.