MCP token maliyeti denetleyicisi geliştirirken istenmeyen bir keşif yapıldı. mcp-tollbooth adlı araç, MCP sunucularının agent’ınızı kullanmadan önce ne kadar token tükettiğini ölçmeyi hedefliyor. Ancak bu aracın geliştirilmesi sırasında, npx ve PyPI kayıtları arasında bir isim gasbı (namesquatting) saldırısı tespit edildi. Aynı paket adı, farklı kayıtlarda farklı yazılımlara işaret ediyor ve bu durum ciddi güvenlik riskleri oluşturuyor.
Geliştirilen araç, MCP sunucularının token maliyetini tahmin etmek için bir bilinen paket tablosu kullanıyor. Ancak araştırmacı, bu tabloyu oluştururken mcp-server-fetch paketinin npm kaydında da bulunduğunu fark etti. Oysa bu paket aslında PyPI üzerinden dağıtılıyor ve uvx ile çalıştırılması gerekiyor. npm üzerindeki aynı adlı paket ise bir güvenlik araştırmacısı tarafından yayınlanmış bir canary (uyarı) paketi. Bu durum, kullanıcıların yanlışlıkla npx ile çalıştırdıklarında farklı bir yazılıma yönlenebileceğini gösteriyor.
Bu isim gasbı saldırısı, MCP yapılandırmalarında npx ve uvx arasındaki karışıklıktan kaynaklanıyor. Kullanıcılar, kopyala-yapıştır hataları veya güncel olmayan eğitimler nedeniyle npx kullanabiliyor. Oysa doğru komut uvx ile PyPI üzerinden paketi çekmek. npm üzerindeki aynı adlı paket ise zararsız görünse de, bu mekanizma kötü niyetli kişiler tarafından kullanılabilir. Kimlik bilgilerini çalma, ters kabuk açma gibi saldırılar için bu tür isim gasbı yöntemleri kullanılabilir.
Detaylar ve Etkileri
Bu keşif, MCP kullanıcıları için önemli bir uyarı niteliği taşıyor. MCP yapılandırmanızda npx ile çalıştırılan her sunucuyu kontrol etmeli ve aslında uvx veya pipx ile çalıştırılması gerekip gerekmediğini doğrulamalısınız. Ayrıca, güvenlik araçları geliştirirken farklı kayıtları ayrı ayrı ele almak ve isim çakışmalarına karşı önlem almak kritik önem taşıyor. Bu olay, yazılım tedarik zinciri güvenliğinin ne kadar hassas olduğunu bir kez daha gözler önüne seriyor.
