MCPbouncer, MCP araçlarına bağlı yapay zeka ajanları için yerel bir aksiyon firewall'u açık kaynak yaptı

Bir geliştirici, yapay zeka kodlama asistanları ile bu asistanlara yerel dosyalara, shell'lere ve veritabanlarına erişim sağlayan MCP server'ları arasına yerleşen açık kaynak bir masaüstü firewall'u olan MCPbouncer'ı yayınladı. 13 Eylül'de dev.to üzerinde duyurulan araç, mevcut Model Context Protocol server'larını sarmalıyor, bağlantı üzerinden akan her tool call'u inceliyor ve yıkıcı veya şüpheli aksiyonları bir insan onaylayana kadar duraklatıyor.

Kapatmayı hedeflediği boşluk

Yazının yazarı, geliştiricilerin Cursor, Claude Desktop, Windsurf ve Zed gibi araçları, ayrıca özel LLM framework'lerini; dosya sistemi erişimi, terminal çalıştırma ve Postgres gibi veritabanları için standart MCP server'ları üzerinden doğrudan yerel sistemlere bağladığını savunuyor. Bu kurulumda yapay zeka istemcisi geliştiriciye yalnızca nihai sonucu gösterir; aradaki stdio bağlantısından geçen JSON-RPC mesaj akışını değil.

Bu durum, yazıda sıralanan birkaç riski beraberinde getiriyor. Halüsinasyon görmüş bir shell komutu veya SQL ifadesi, kimse fark etmeden kod silebilir veya tabloları düşürebilir. Bir .env dosyasını veya SSH anahtarını okuyan bir ajan, bu secret'ları ister kazayla isterse dolaylı bir prompt injection bunu emrettiği için, argümanlar içinde başka bir araca aktarabilir. Ajanın okuduğu güvenilmeyen içerik (web sayfaları veya dosyalar gibi), talimatlarını ele geçirebilir; buna zero-width Unicode karakterleri veya gizli Markdown image etiketleri aracılığıyla olanlar da dahil. Ayrıca araçların gerçekte ne çalıştırdığına dair birleşik, gerçek zamanlı bir denetim kaydı yok.

Proxy nasıl çalışıyor

MCPbouncer kendisini, yapay zeka istemcisi ile downstream MCP server'ları arasına yerleşen inline, zero-trust bir proxy olarak konumlandırıyor. Kurulum CLI odaklı: npx mcpbouncer scan Cursor ve Claude Desktop'a kayıtlı MCP server'larını bulur, npx mcpbouncer protect --all onları sarmalar ve npx mcpbouncer dashboard, operatörün trafiği izleyebileceği, payload'ları inceleyebileceği ve bekleyen aksiyonları onaylayabileceği 127.0.0.1:4114 adresinde yerel bir web dashboard başlatır. Yazar, aracı zero-dependency ve tamamen yerel olarak tanımlıyor; bulut telemetrisi veya uzaktan izleme yok.

Firewall'un iddia ettikleri

Duyuru, araca beş ana yetenek atfediyor:

• Her JSON-RPC 2.0 tool call'unu, parametrelerini, çalıştırma süresini ve yanıtını gerçek zamanlı gösteren, Wireshark tarzı canlı bir inceleyici.

• Human-in-the-loop müdahalesi: SQL drop'ları, özyinelemeli shell silmeleri ve disk seviyesindeki aksiyonlar gibi yüksek riskli işlemler, ALLOW/BLOCK masaüstü prompt'u ile duraklatılıyor.

• Giden veri kaybı önleme: yazarın sub-millisecond ve ReDoS-bounded olduğunu iddia ettiği bir regex motoru, OpenAI, Anthropic, AWS, GitHub, Stripe ve Slack dahil sağlayıcıların API anahtarlarını tespit ediyor ve makineden çıkmadan önce bunları temizliyor.

• Talimat geçersiz kılmalarını, jailbreak persona'larını ve gizli zero-width Unicode kaçakçılığını işaretleyen bir injection ve steganografi kalkanı.

• Kriptografik denetim kaydı: her tool çalıştırması, yazarın tamper-evident olarak tanımladığı yerel bir deftere bir SHA-256 aksiyon makbuzu yazıyor; bu, SOC 2 ve ISO uyumluluk çalışmalarına yönelik.

Proje Apache-2.0 lisansıyla lisanslandı ve TypeScript, Node.js, React 19, Tailwind CSS ve Vite ile geliştirildi; kodu GitHub'da yayınlandı.

Dikkat edilmesi gerekip gereken uyarılar

Yukarıdaki her iddia, bağımsız bir incelemeden değil projenin kendi duyurusundan geliyor ve şu anda hikaye için tek bir kaynak var. Özellikle DLP motoruna ait performans rakamı ve uyumluluk çerçevesi satıcı iddialarıdır. Regex tabanlı secret tespiti de iyi bilinen bir kedi-fare problemidir: bilinen anahtar formatlarını yakalar ama rastgele veri sızdırmayı değil. Ayrıca firewall modeli, proxy'nin tüm trafiği açık hâlde okuyabileceğini varsayıyor; bu, stdio tabanlı MCP server'larına uyar ama her entegrasyon yolunu kapsamayabilir.

Neden önemli

MCP, yapay zeka ajanlarına bir geliştiricinin makinesinde gerçek yetenekler hızla kazandırmanın varsayılan yolu oluyor ve izin modeli bu hıza yetişemedi: standart bir dosya sistemi veya terminal server'ı, az ayrıntı düzeyiyle ve kullanım kaydı olmadan geniş kapsamlı erişim veriyor. MCPbouncer, yapay zeka ajanı aksiyonlarını ağ trafiği gibi ele alma yönünde erken bir girişim; incelenebilir, filtrelenebilir ve denetlenebilir olması da tam olarak paket inceleyicileri ile içerik engelleyicileri kendi alanlarında temel hâle getiren model. Bu particular araç kazanmasa bile temsil ettiği desen (yerel aksiyon firewall'u ile denetim defterinin eşleşmesi), kurumların otonom ajanları üretim kimlik bilgilerinin yakınına yaklaştırmadan önce talep edeceği türden bir kontrol ve model ile makine arasındaki ortaya çıkan bir middleware kategorisine işaret ediyor.