脆弱なMCPサーバーラボ

このリポジトリには、モデルコンテキストプロトコル(MCP)サーバー(ローカルおよびリモートの両方)の意図的に脆弱な実装が含まれています。各サーバーはそれぞれのフォルダに存在し、専用のREADME.mdが含まれており、何をするか****運用方法、脆弱性のデモンストレーション/攻撃方法に関する詳細が記載されています。

これらの作業は管理された実験室環境の外で行わないでください。

この差し押さえは何のためか

• **一般的なMCPサーバーおよびツール統合の失敗モードに関するセキュリティトレーニング/研究。
• **脆弱なMCPサーバーがデータ漏洩、命令注入、サプライチェーンの侵害、コード実行につながるかを体験する体験デモ。

安全/ラボ指導

• **使い捨てのVM/コンテナを使用し、実際の秘密や個人データの使用は避けてください。
• 隔離されたネットワーク上で動作することを好みます。複数のサーバーがアウトバウンドネットワーク通話を行います。
• すべてのツール出力および取得したコンテンツを信頼できないデータ**として扱う。
• HTTP経由でサーバーを公開する場合、適切な制御を施さない限りアクセス可能または悪用される可能性があると想定してください。

始める

• **以下のインデックスからサーバーを選びます。

Vulnerable MCP Servers Lab

This repository contains intentionally vulnerable implementations of Model Context Protocol (MCP) servers (both local and remote). Each server lives in its own folder and includes a dedicated README.md with full details on what it does, how to run it, and how to demonstrate/attack the vulnerability.

Do not run any of this outside a controlled lab environment.

What this repo is for

• Security training / research into common MCP server and tool-integration failure modes.
• Hands-on demos of how vulnerable MCP servers can lead to data exposure, instruction injection, supply-chain compromise, and code execution.

Safety / lab guidance

• Use a disposable VM/container and avoid using real secrets or personal data.
• Prefer running on an isolated network; several servers make outbound network calls.
• Treat all tool output and retrieved content as untrusted data.
• If you expose any server over HTTP, assume it may be reachable/abused unless you add proper controls.

Getting started

• Pick a server from the index below.
• Open its per-server README and follow the instructions there.
• Many servers include a claude_config.json snippet intended to be merged into Claude Desktop’s MCP configuration.

MCP servers in this repo

• Filesystem Workspace Actions (path traversal + code exec): Tools for reading/writing/listing a “workspace” plus Python execution; vulnerable to naive path joining and unsandboxed code execution.

  • README: vulnerable-mcp-server-filesystem-workspace-actions/README.md

• Indirect Prompt Injection (local stdio): Document retrieval/search that returns documents verbatim, including embedded hidden instructions.

  • README: vulnerable-mcp-server-indirect-prompt-injection/README.md

• Indirect Prompt Injection (remote MCP over HTTP+SSE): Network-accessible MCP server (HTTP + SSE) returning untrusted documents verbatim; models risk of connecting to untrusted remote MCP endpoints.

  • README: vulnerable-mcp-server-indirect-prompt-injection-remote-mcp/README.md

• Malicious Code Execution (eval-based RCE): “Quote of the day” tool with an unsafe formatting feature that eval()s attacker-controlled JavaScript.

  • README: vulnerable-mcp-server-malicious-code-exec/README.md

• Malicious Tools (instruction injection / fabricated tool output): Appears to return status data, but injects misleading instructions and can fabricate plausible-looking incidents.

  • README: vulnerable-mcp-server-malicious-tools/README.md