SSH MCP Server — это сервер Model Context Protocol, ориентированный на безопасность, который предоставляет агентам LLM управляемый SSH доступ к удалёным хостам — с классификацией команд, авторизацией на основе политик, одобрением человека в цикле и полным логированием аудита.

Риск, с которым этот сервер должен управлять. Предоставление LLM-оболочки доступа к удалённому хосту помещает приватные данные, ненадёжный вход и выход из сети в одном месте — «смертельное трио» Саймона Уиллисона. Инъекция prompt не имеет общего решения, поэтому ssh-mcp предполагает, что любая команда может быть под влиянием злоумышленника: он классифицирует перед выполнением, авторизирует роль × матрицу хост-группы, ограничивает разрушительную работу за одобрением и фиксирует решение в любом случае. Это сужает радиус взрыва; это не устраняет риск. Две вещи остаются вашими: никогда не указывайте на корневую учётную запись и никогда не устанавливайте одобрение auto на производственном профиле. SECURITY.md обладает полной моделью угрозы.

---

Быстрый старт

1. Установка

2. Настройка

Без конфигурации сервер всё равно запускается, поэтому клиент или каталог могут завершить MCP рукопожатие и чтение tools/list — но каждый вызов инструмента отклоняется, пока вы не настроите его, с сообщением с указанием тропы ниже.

SSH MCP Server v2

SSH MCP Server is a security-first Model Context Protocol server that gives LLM agents controlled SSH access to remote hosts — with command classification, policy-based authorization, human-in-the-loop approval, and full audit logging.

The risk this server exists to manage. Giving an LLM shell access on a remote host puts private data, untrusted input and network egress in one place — Simon Willison’s “lethal trifecta”. Prompt injection has no general fix, so ssh-mcp assumes any command may be attacker-influenced: it classifies before executing, authorizes against a role × host-group matrix, gates destructive work behind approval, and records the decision either way. That narrows the blast radius; it does not remove the risk. Two things stay yours: never point it at a root account, and never set auto approval on a production profile. SECURITY.md has the full threat model.

---

Quick Start

1. Install

npm install -g ssh-mcp

2. Configure

Without a config the server still starts, so a client or directory can complete the MCP handshake and read tools/list — but every tool call is refused until you configure it, with a message naming the path below. Nothing runs on a host until this step is done. The one exception is reload-config: write the file, then call it with action: "reload" (or restart the server) to configure a server that is already running — see Reloading.

Create the config file at the path for your platform:

[defaults]
defaultProfile = "dev"
approvalMode = "ask-destructive"

[[profiles]]
name = "dev"
host = "192.168.1.100"
port = 22
user = "deploy"           # NOT root!
auth = "key"