DEV Community · AI · Nov 3, 2026

Your MCP server can read ~/.ssh. Here is how I put it in a jail

你的 MCP 服务器能读取 ~/.ssh：我用 mcp-jail 把它关进牢笼

Source titles and editorial notes are shown in their original language.

Original summary (Chinese)

作者指出，Claude Desktop、Cursor 或 Claude Code 配置中的 filesystem MCP 服务器会以用户本人权限运行，可访问 ~/.ssh、~/.aws 和 shell 环境变量。静态扫描器只能检查工具描述，无法应对三类问题：合法工具被传入危险参数（如 write_file 写 ~/.bashrc）、服务器在两次运行间更换工具定义（rug-pull）、以及 stdio 通信不经网关、无日志可审计。为此作者开发 mcp-jail：一个 Go 单二进制，客户端用它替代直接启动服务器，在 jail 中启动真实服务器并转发 JSON-RPC，施加 policy、lock 和 audit。正文在此处截断，具体策略细节未完整给出。

Why this was selected

MCP 服务器以你的本机权限裸奔是超级个体最容易忽视的风险，这篇给出了可落地的 jail 方案和三类扫描器盲区，值得直接参考。