SSH MCP Serverは、LLMエージェントにリモートホストへの制御されたSSHアクセスを提供する、セキュリティ第一のモデルコンテキストプロトコルサーバーです。命令分類、ポリシーベースの認可、人間のループによる承認、完全な監査ログなどが含まれます。

このサーバーが管理すべきリスク。 リモートホストにLLMシェルアクセスを与えることで、プライベートデータ、信頼できない入力、ネットワークの出国が一か所に集まることになります。これはサイモン・ウィリソンの「致命的な三重一体」です。プロンプト注入には一般的な解決策がないため、ssh-mcpはどんなコマンドでも攻撃者の影響を受けていると仮定します。実行前に分類し、ホストグループマトリックス×役割に対して認可し、破壊的な作業を承認の背後にゲートし、どちらの場合でも決定を記録します。これにより攻撃範囲は狭まります。リスクを取り除くわけではありません。あなたのものとして残るのは2つあります:決してルートアカウントに向けないこと、そして本番プロファイルでautoの承認を設定しないこと。SECURITY.md は完全な脅威モデルを持っています。

---

クイックスタート

1.設置

2.構成

設定がなくてもサーバーは起動するため、クライアントやディレクトリがMCPを完成させることができます ハンドシェイクと読み上げ tools/list — しかし**すべてのツール呼び出しは設定するまで拒否されます。 下に道の名前が書かれたメッセージが添えられています。

SSH MCP Server v2

SSH MCP Server is a security-first Model Context Protocol server that gives LLM agents controlled SSH access to remote hosts — with command classification, policy-based authorization, human-in-the-loop approval, and full audit logging.

The risk this server exists to manage. Giving an LLM shell access on a remote host puts private data, untrusted input and network egress in one place — Simon Willison’s “lethal trifecta”. Prompt injection has no general fix, so ssh-mcp assumes any command may be attacker-influenced: it classifies before executing, authorizes against a role × host-group matrix, gates destructive work behind approval, and records the decision either way. That narrows the blast radius; it does not remove the risk. Two things stay yours: never point it at a root account, and never set auto approval on a production profile. SECURITY.md has the full threat model.

---

Quick Start

1. Install

npm install -g ssh-mcp

2. Configure

Without a config the server still starts, so a client or directory can complete the MCP handshake and read tools/list — but every tool call is refused until you configure it, with a message naming the path below. Nothing runs on a host until this step is done. The one exception is reload-config: write the file, then call it with action: "reload" (or restart the server) to configure a server that is already running — see Reloading.

Create the config file at the path for your platform:

[defaults]
defaultProfile = "dev"
approvalMode = "ask-destructive"

[[profiles]]
name = "dev"
host = "192.168.1.100"
port = 22
user = "deploy"           # NOT root!
auth = "key"