Luka w Google MCP Toolbox: co powinni sprawdzić użytkownicy samodzielnie hostowanej sztucznej inteligencji

Obraz tytułowy: Google Cloud — architektura MCP Toolbox.

CVE-2026-93328 łączy konkretne ostrzeżenie dotyczące oprogramowania z szerszym problemem związanym z serwerami domowymi: usługa narzędzi AI może mieć uprawnienia do plików i pamięci w chmurze wykraczające poza zakres zadania zleconego agentowi. Zacznij od dokładnego wskazania komponentu, którego dotyczy problem, zamiast zakładać, że każda implementacja serwera MCP ma tę samą lukę.

Ten poradnik oddziela opublikowane informacje od praktycznego wdrożenia. Wyjaśnia, co wynika ze źródeł, gdzie kończą się dowody i jak ocenić przepływ pracy z prywatnymi plikami, nie zakładając, że zaawansowany model lub nowszy serwer zwalnia z konieczności ograniczenia dostępu i weryfikacji.

Jakiego oprogramowania dotyczy ostrzeżenie?

Wpis w GitHub Advisory Database opisuje problem z przechodzeniem po ścieżkach i brakiem autoryzacji w źródle pamięci w chmurze Google Cloud MCP Toolbox for Databases. Podany zakres wersji dotyczy konkretnego komponentu. Niezwiązana implementacja MCP, konektor, który nigdy nie uruchamia tego źródła, lub inna wersja wymagają osobnej oceny. Zachowaj skrót obrazu, tag wydania i konfigurację zainstalowanego oprogramowania, aby można było zweryfikować porównanie, zamiast wyciągać wnioski na podstawie nazwy aplikacji wyświetlanej w interfejsie.

Wpis w bazie danych oznaczono podczas sprawdzania jako niezweryfikowany, więc nie należy przedstawiać go jako kompletnego zalecenia dotyczącego wdrożenia przez dostawcę. Przejrzyj odnośniki do repozytorium źródłowego i porównaj je z aktualnymi informacjami o wydaniach. Powiązany pull request wprowadza ograniczenia dotyczące zasobników i lokalnych ścieżek, ale wcześniejsza data jego scalenia nie jest datą publicznego ujawnienia. Chronologia mówiąca, że projekt po raz pierwszy naprawił wszystko w tym tygodniu, błędnie przedstawiałaby dowody.

Dlaczego aktualizacja to tylko jeden z elementów ograniczających dostęp?

Zaktualizowany obraz może zawierać mechanizmy kontroli, a mimo to działać z liberalnymi ustawieniami, zbędnymi punktami montowania lub szeroko uprawniającymi danymi uwierzytelniającymi do chmury. Sprawdź efektywną konfigurację, zamiast zakładać, że sama nazwa ustawienia dowodzi ograniczenia uprawnień wdrożenia. Narzędzie, które może odczytywać system plików hosta i zapisywać dane w zdalnym zasobniku, tworzy ścieżkę transferu danych, nawet jeśli sam model jest hostowany gdzie indziej. O tym, do czego narzędzie ma dostęp, decyduje podmiot, na którego uprawnieniach działa.

Zrób inwentaryzację lokalnych katalogów głównych, dostępu do zasobników, użytkowników środowiska uruchomieniowego i ekspozycji sieciowej. W miarę możliwości używaj dedykowanego katalogu zadań i tożsamości usługi przeznaczonej do konkretnego celu. Jeśli proces nie ma dostępu do rodzinnego archiwum ani niezwiązanych zasobników w chmurze, błędne wywołanie narzędzia daje mniejsze możliwości nadużycia. Ograniczenia powinny obowiązywać poniżej warstwy promptów: uprawnienia systemu operacyjnego, punkty montowania kontenerów i uprawnienia IAM w chmurze nadal mają znaczenie, gdy agent błędnie zinterpretuje żądanie lub otrzyma wrogie instrukcje w pobranej treści.

W podlinkowanym żądaniu ściągnięcia do repozytorium nadrzędnego wymieniono allowedBuckets i allowedLocalRoot oraz wskazano zbyt liberalne wartości domyślne. Sprawdź efektywne wartości dla wdrożonego źródła; samo znalezienie tych ustawień w nowszym pliku binarnym nie dowodzi, że wdrożenie ma ograniczone uprawnienia. W tej samej historii wspomniano o wydaniu 1.5.0 w czerwcu, więc niedawno opublikowanego komunikatu o luce nie należy opisywać jako poprawki wprowadzonej w październiku.

Jak sprawdzić narażenie bez odtwarzania ataku?

Najpierw sprawdź konfigurację i metadane środowiska uruchomieniowego. Ustal typ wdrożonego źródła, dokładną wersję oraz to, czy punkt końcowy jest osiągalny z niezaufanych sieci. Następnie zweryfikuj dozwolone lokalne katalogi główne i zasobniki, używając tymczasowych danych testowych w środowisku testowym. Nie musisz wysyłać produkcyjnych danych uwierzytelniających ani odtwarzać sekwencji eksfiltracji, aby ustalić, że poświadczenie lub punkt montowania mają zbyt szeroki zakres.

Jeśli dzienniki lub inne dowody wskazują na nieuprawnioną aktywność, przed rutynowym czyszczeniem zachowaj odpowiednie zapisy i zmień dane uwierzytelniające powiązane z narażoną usługą. Aktualizacja wersji nie unieważni skopiowanego klucza ani nie odzyska pliku, który opuścił już system. Prowadź dokumentację działań naprawczych oddzielnie od testów eksploracyjnych, a po wprowadzeniu zmian sprawdź, czy standardowe procesy nadal działają. Celem jest usługa narzędziowa o możliwym do wykazania, ograniczonym zakresie uprawnień, a nie po prostu kontener, który pomyślnie się uruchamia.

Co należy zmierzyć, zanim zaufasz temu przepływowi pracy?

Utwórz rejestr ekspozycji dla każdej wdrożonej instancji: skrót obrazu, konfigurację źródła, tożsamość środowiska uruchomieniowego, zamontowane ścieżki, tożsamość w chmurze i dostępne punkty końcowe. Odróżniaj zainstalowany komponent od włączonego narażonego źródła. Etykieta kontenera lub pakiet wymieniony w pliku blokady to przydatna wskazówka, ale nie informuje, która konfiguracja jest aktywna w uruchomionym procesie. Zachowaj dowody, na których opierasz każdy wniosek.

Sprawdź egzekwowanie ograniczeń przy użyciu nieszkodliwych danych testowych. Dozwolona operacja w wyznaczonym katalogu testowym powinna działać; żądanie spoza tego katalogu powinno zostać odrzucone przez faktycznie działający mechanizm kontroli, bez konieczności polegania na ocenie modelu, czy jest ono niewłaściwe. Zastosuj to samo podejście do zakresu dostępu do zasobników i IAM. Nie zakładaj, że ograniczenia są egzekwowane wyłącznie na podstawie pliku konfiguracyjnego na dysku: potwierdź, że usługa wczytała ten plik, a nadpisania wdrożeniowe nie rozszerzyły zamierzonego zakresu dostępu.

Jak zadbać o to, by wynik można było zweryfikować i odtworzyć?

Traktuj podejrzenie ujawnienia danych jako zdarzenie operacyjne z osią czasu. Przed rutynowym czyszczeniem zachowaj odpowiednie dzienniki dostępu, rejestry wdrożeń i identyfikatory danych uwierzytelniających, jednocześnie ograniczając zbędny dostęp do tych zapisów. Odnotuj, co wiesz, a czego nie udało się jeszcze ustalić. Obecność podatnej wersji nie dowodzi, że uzyskano dostęp do danych; brak odpowiedniego wpisu w dzienniku nie dowodzi, że dostęp był niemożliwy.

Sposób przywrócenia bezpieczeństwa zależy od tego, którego zasobu dotyczy problem. Ogranicz dostęp do narażonego źródła lub je wyłącz, w razie potrzeby zastąp podatne oprogramowanie, zmień powiązane dane uwierzytelniające i w razie potrzeby przywróć nadpisane pliki z pewnej kopii. Następnie sprawdź, czy zwykłe, autoryzowane operacje nadal działają przy ograniczonych uprawnieniach. Po usunięciu problemu zapisz wdrożony skrót i obowiązujące listy dozwolonych elementów. Aktualizacja może zmienić kod wykonywalny, nie korygując jednak szerokiego zakresu montowania, zbyt liberalnych ustawień domyślnych ani wcześniej ujawnionych danych uwierzytelniających.

Jak przetestować przepływ pracy przed użyciem ważnych plików?

Poniższy protokół walidacji ma charakter redakcyjny i nie oznacza, że ZimaSpace przeprowadziło testy porównawcze usługi. Przeprowadź go z użyciem tymczasowych lub zatwierdzonych danych testowych i zachowaj warunki testu wraz z wynikiem.

1. Zidentyfikuj uruchomiony komponent i źródło, którego dotyczy problem. Porównaj wdrożoną wersję z zakresem wersji wymienionym w ostrzeżeniu, a także zachowaj dokładny identyfikator skrótu obrazu i identyfikator konfiguracji.
2. Zapoznaj się zarówno z ostrzeżeniem, jak i ze zmianą wprowadzoną w projekcie nadrzędnym. Odróżnij datę ujawnienia od wcześniejszej historii implementacji i przed wyborem aktualizacji sprawdź informacje o bieżących wydaniach.
3. Określ rzeczywisty zakres uprawnień. Sprawdź lokalne katalogi główne, punkty montowania kontenerów, uprawnienia środowiska uruchomieniowego, zakres dostępu do zasobników, ustawienia IAM i osiągalność punktów końcowych; ustal, które uprawnienia nie są potrzebne do realizacji danego zadania.
4. Zweryfikuj ograniczenia przy użyciu tymczasowych danych testowych w środowisku testowym. Sprawdź dozwolone i zabronione ścieżki oraz zasobniki, nie umieszczając produkcyjnych danych uwierzytelniających w żądaniach testowych.
5. Zabezpiecz dowody i zmień ujawnione dane uwierzytelniające, jeśli istnieje podejrzenie podejrzanej aktywności. Obserwacje dotyczące incydentu oddziel od założeń i testów eksploracyjnych.
6. Po wdrożeniu naprawy powtórz standardowy, autoryzowany proces. Zapisz końcową wersję, wczytaną konfigurację i wynik weryfikacji, aby zmianę można było niezależnie skontrolować.

Jaką rolę może pełnić serwer z ZimaOS?

Osobisty serwer NAS ZimaCube 2 do chmury prywatnej może zapewnić lokalną warstwę przechowywania danych i aplikacji, gdy projekt rzeczywiście wymaga wielu dysków, przestrzeni roboczej na SSD lub współdzielonego dostępu do stale powiększającego się archiwum. Dobierz sprzęt do przechowywanych danych źródłowych, aktywnych usług i strategii tworzenia kopii zapasowych. Rekomendacja produktu stanowi kontekst architektoniczny, a nie dowód na to, że ten model chmurowy, usługa w wersji zapoznawczej lub system badawczy działa lokalnie na serwerze NAS.

Oddziel wnioskowanie od przechowywania danych. Hostowany model może otrzymywać zatwierdzone fragmenty, podczas gdy oryginały pozostają na serwerze. Opcjonalne lokalne indeksowanie, konwersja lub usługi korzystające z mniejszych modeli wymagają osobnej oceny pamięci i mocy obliczeniowej. Przechowuj drugą kopię, którą można odzyskać, poza głównym urządzeniem i nie traktuj RAID-u ani pomyślnego przesłania plików jako kompletnej strategii tworzenia kopii zapasowych. Mniejszy, już posiadany serwer nadal będzie odpowiedni, jeśli spełnia wymagania zmierzonego obciążenia.

FAQ

Czy to ostrzeżenie dotyczy każdego serwera MCP?

Nie. Wskazany wpis opisuje źródło pamięci masowej w chmurze w wersjach 1.2.0–1.4.0 googleapis/mcp-toolbox. Inne implementacje i wdrożenia wymagają osobnej oceny.

Czy aktualizacja obrazu kończy naprawę?

Aktualizacja to tylko jeden element oceny. Sprawdź obowiązujące ograniczenia katalogu głównego i zasobnika, zamontowane ścieżki, tożsamość środowiska uruchomieniowego oraz poświadczenia do chmury. Nowszy plik binarny nadal może działać z nadmiernymi uprawnieniami.

Czy należy odtworzyć eksport plików na danych produkcyjnych?

Oceń zakres dostępu na podstawie konfiguracji i nieszkodliwych danych testowych w środowisku testowym. Do sprawdzenia, czy punkt montowania, tożsamość lub lista dozwolonych elementów mają zbyt szeroki zakres, nie są potrzebne produkcyjne sekrety ani prywatne pliki.

Czy należy udostępnić narzędziu AI całe prywatne archiwum?

Udostępniaj na potrzeby zadania tylko niezbędne materiały, korzystając z odpowiednio ograniczonego konta lub katalogu roboczego. Sprawdź, jakie dane dana usługa wysyła, rejestruje i przechowuje. Prywatna lokalizacja pamięci masowej nie gwarantuje, że podłączone narzędzie przetwarza dane lokalnie.

Kiedy większy serwer NAS staje się przydatny?

Gdy uzasadniają to zmierzony przyrost danych źródłowych, dostęp współdzielony, aktywne aplikacje lub wymagania dotyczące przechowywania danych. Nie rozwiązuje to automatycznie kwestii dostępu modelu, nieobsługiwanych środowisk uruchomieniowych, limitów wysyłania danych przez sieć ani niepewności co do twierdzeń badawczych.

Kiedy należy wstrzymać wdrożenie do środowiska produkcyjnego?

Zatrzymaj się, jeśli nie możesz ustalić tożsamości oprogramowania lub modelu, uprawnień do danych wejściowych, dostępności wymaganych funkcji albo ścieżki odzyskiwania. Najpierw rozwiąż te kwestie, a potem powtórz mały test. Nie kompensuj braku dowodów bardziej stanowczą rekomendacją.

Źródła i dodatkowe lektury

• Oficjalny komunikat lub ostrzeżenie
• Zmiany w kontroli dostępu do pamięci masowej w chmurze upstream
• Wersje projektów upstream

Informacje zweryfikowano 28 października 2026 r. Dostępność produktów, plany dostępu i komunikaty dotyczące bezpieczeństwa mogą ulec zmianie. Twierdzenia pochodzące z upstreamu są przypisane do źródeł; zalecenia dotyczące przepływów pracy i przykłady architektury to analiza redakcyjna, a nie wyniki testów sprzętu ZimaSpace.

Powiązany poradnik: Czy samodzielnie hostowany agent AI może działać z dostępem do systemu plików tylko do odczytu?.

Powiązany poradnik: Jak sprawdzić, czy uprawnienia agenta obejmują tylko wymagane działania narzędzi?.

Powiązany poradnik: Wykrywanie luk w zabezpieczeniach przez AI a automatyczne instalowanie poprawek: jakie problemy rozwiązuje każde z tych rozwiązań?.