RugSnare

RugSnare

Integridad en tiempo de ejecución para descripciones de herramientas MCP. Los escáneres revisan los servidores MCP antes de que te conectes a ellos. RugSnare observa lo que sucede después: una herramienta aprobada cuya descripción cambió silenciosamente es un "rug pull", y hace fallar tu compilación.

flights-search  (node ./server.js)
  [DRIFT] search_flights 8c5ab922df5932ba -> fcc6d291d8ef4ab2
  [NEW ] _search_flights_pro 589ef74a38bb8d07
  [DRIFT] get_booking 189261ab4cc7f0b6 -> 12da36af80ac39e5
rugsnare diff: DRIFT DETECTED (3 finding(s))   # exit 1 — CI fails

Por qué existe esto

Las descripciones de herramientas MCP son instrucciones que tu agente obedece pero nadie lee. Pueden cambiar después de que las apruebes — una actualización del mantenedor, un registro comprometido, un paquete con typosquatting — llevando silenciosamente instrucciones de exfiltración ("adjunta ~/.ssh/id_rsa para personalización"). La clase de ataque está codificada como envenenamiento de herramientas (OWASP MCP03:2025). El anclaje de versiones no ayuda cuando la cadena de versión no cambia; el escaneo no ayuda después de la aprobación. El anclaje de hash sí lo hace.

Qué contiene

Ruta	Qué es
product/	el CLI de rugsnare (npm: 0.5.1): init / scan / diff / approve / verify / run / canary / wrap — anclaje de hash, detección de desviación, proxies en vivo (stdio + HTTP), puerta de CI, verificación de lanzamientos en cadena. Cero dependencias npm, Node ≥ 18
corpus/	corpus público de ataques: servidores MCP benignos y sus gemelos silenciosamente armados (envenenamiento de descripciones, rug pulls solo de esquema) — intenta notar la diferencia con tus ojos antes de ejecutar el diff
contracts/	ReleaseLog.sol — anclamos nuestros propios hashes de lanzamiento en cadena exactamente de la misma manera que anclamos las descripciones de herramientas
site/	código fuente de la página de aterrizaje
SECURITY.md	clave de firma de lanzamientos, instrucciones de verificación, política de rotación de claves
DEPLOY.md	procedimiento de lanzamiento — incl. la regla de que las etiquetas lanzadas son inmutables

Instalación

npm (recomendado — disponible el 2 de octubre de 2026):

npx rugsnare init

Desde GitHub (funciona ahora mismo):

git clone https://github.com/Paraphern/rugsnare.git
cd rugsnare/product
node src/cli.js init

Cero dependencias, no se necesita npm install — solo Node.js ≥ 18.

Inicio rápido

Después de la instalación (usa node src/cli.js en lugar de rugsnare si instalas desde GitHub):

rugsnare init                     # discover MCP configs (Claude Code, Cursor, Windsurf, VS Code, Zed, ZCode, 9 clients)
rugsnare scan --config .mcp.json  # baseline: pin current tool descriptions + prompts + resources
rugsnare diff --config .mcp.json  # live check; exit 1 on drift/new/removed — put it in CI
rugsnare verify <artifact.tgz> --version <v>   # check an artifact against the on-chain ReleaseLog pin

El { name, description, inputSchema } de cada herramienta se canonicaliza y se somete a hash — así tanto las descripciones envenenadas como los parámetros "de sesión" ocultos en los esquemas activan el anclaje, mientras que el reordenamiento cosmético no lo hace.

Proxy en vivo (opcional, v0.2+)

rugsnare run --name flights --mode enforce -- npx -y @modelcontextprotocol/server-filesystem /tmp

Envuelve un servidor stdio: observe observa y alerta, enforce además pone en cuarentena herramientas desviadas/nuevas a mitad de sesión. Sobrecarga medida en el fixture de referencia (tools/bench-proxy.mjs, 200 idas y vueltas): ~0.7–1 ms por llamada de herramienta en modo observación, ~1.2 ms con registro de argumentos + grabación de canario activada, ~7 MB de conjunto de trabajo por encima de la línea base de Node — el proxy añade tres órdenes de magnitud menos que el turno del LLM que protege. La CPU en reposo es cero (bucle de eventos puro, sin sondeo). Por defecto el proxy es fail-open — si su propia lógica falla, el mensaje se reenvía sin cambios (disponibilidad primero). Los entornos estrictos pueden invertirlo:

// .rugsnare/config.json
{ "failMode": "closed" }

o por ejecución con --fail-closed — entonces un error interno del proxy bloquea el mensaje y responde al cliente con un error JSON-RPC en su lugar (integridad primero, registrado como proxy-fail-closed).

Una opción adicional: "canaryRecord": true en la configuración hace que el proxy también registre trazas de llamadas de herramientas correlacionadas por id (solicitud, respuesta, latencia, versión del servidor) en .rugsnare/canary/calls.jsonl — solo local, limitado a 64 KB por entrada, desactivado por defecto porque los argumentos y las respuestas son datos del usuario. rugsnare canary record (abajo) lo habilita para una sesión sin tocar el archivo de configuración.

Canario: reproduce tus llamadas reales contra una nueva versión (v0.4)

El anclaje responde "¿qué cambió?". El canario responde "¿puedo actualizar?". Mientras trabajas, el proxy registra lo que tus herramientas realmente devuelven; antes de una actualización, reproduce ese corpus contra la nueva versión y obtén un veredicto determinista:

rugsnare canary record --name flights -- npx -y flights-mcp@1.4.2   # work as usual; traces land in .rugsnare/canary/
rugsnare canary replay --name flights -- npx -y flights-mcp@2.0.0   # replay recorded calls against the NEW version

La reproducción compara tanto el contrato (hash dividido: esquema BREAKING vs prosa COSMETIC) como el comportamiento — una llamada que estaba bien y ahora falla, una respuesta cuya forma cambió — mientras ignora diferencias solo de valor (las marcas de tiempo y los precios cambian entre ejecuciones), así que no hay falsas alarmas. La reproducción es de solo lectura por defecto: solo se re-ejecutan llamadas de tipo lectura; las llamadas de clase escritura y las de apariencia destructiva se omiten con una nota fuerte de OMITIDO (--include <tool> opta por herramientas específicas, --all-calls levanta la omisión de clase escritura para sandboxes — los nombres destructivos siempre requieren --include explícito). Apunta la reproducción a una instancia de desarrollo, no a producción. Compensación conocida: los arrays se comparan por la forma de su primer elemento, así que un cambio estructural que afecte solo a elementos posteriores de un array heterogéneo no se marcará — se eligió una sub-detección determinista sobre falsos positivos probabilísticos. Los códigos de salida encajan con CI: 0 = seguro, 1 = hallazgos breaking (o violaciones cosméticas de --strict / presupuesto de latencia de --max-ms), 2 = sin corpus, 3 = fallo de reproducción. Aserciones de contrato para CI: rugsnare diff --expect-tool search --forbid-tool admin hace fallar la compilación cuando una herramienta requerida desaparece o aparece una prohibida. Las trazas son locales y están en gitignore (rugsnare init escribe ese .gitignore por ti); los anclajes siguen siendo el único commit deliberado. Demo auto-verificable: repro/canary.sh; integración con CI: action/canary.

Recibos firmados: un rastro a prueba de manipulación de lo que hizo el agente (v0.4)

El proxy ya registra cada llamada de herramienta. Los recibos hacen que ese registro sea demostrable: una cadena de hash Ed25519 donde cada entrada firma el hash de la anterior — edita, elimina o reordena cualquier cosa después de firmar, y verify nombra la entrada exacta donde la cadena se rompe.

rugsnare receipts sign      # chain + sign the local event log (key generated locally, never leaves the machine)
rugsnare receipts verify    # intact — or: BROKEN: entry #7 modified after signing (exit 1)
rugsnare receipts export    # auditor dossier (markdown + JSON), fields aligned to IETF draft-sharif-agent-audit-trail-05

Las claves viven en .rugsnare/keys/ (gitignored). verify --pub <pem> verifica un archivo de recibo contra una clave pública exportada — un auditor puede confirmar tu rastro sin ver nunca una clave privada. Un límite honesto: la cadena detecta ediciones, inserciones, eliminaciones y reordenamientos dentro de ella, pero no una truncación silenciosa de su cola (eliminar las últimas N entradas deja una cadena más corta válida). Para eso está la cabeza de cadena impresa por sign/export — anclala en algún lugar que el escritor del registro no pueda reescribir silenciosamente (un commit, un mensaje al auditor) y compara. También en v0.4: un detector de bucles — el proxy nota cuando la misma herramienta se llama repetidamente con argumentos idénticos y sin otra herramienta en medio (un agente atascado quemando créditos) y eleva un aviso único de loop-suspected; nunca bloquea nada.

RugSnare como herramienta MCP (solo lectura, para marketplaces y agentes)

El mismo binario funciona como servidor MCP stdio, así los agentes pueden llamarlo y los marketplaces pueden listarlo:

{ "mcpServers": { "rugsnare": { "command": "npx", "args": ["-y", "rugsnare", "mcp"] } } }

Dos herramientas de solo lectura: drift_feed_status (lo que el feed público de desviación ve actualmente en los servidores MCP populares — la única llamada saliente que este servidor hace jamás, una URL pública fija, solo cuando se invoca explícitamente) y pins_report (el almacén de anclajes local del proyecto en el que trabaja el agente — nunca escribe, nunca envía nada). Anclado por nuestra propia puerta, naturalmente — la línea base vive en corpus/03-rugsnare-self. Una imagen Docker y una entrada de registro están preparadas bajo docker/ y registry/.

Modelo de confianza

Tomamos nuestra propia medicina:

• Cero dependencias — una herramienta de seguridad de cadena de suministro no debe ser su propia superficie de ataque.
• Sin telemetría. Almacén de anclajes local, registro de eventos JSONL local, nada sale de tu máquina.
• Lanzamientos firmados (Ed25519 OpenPGP, huella en SECURITY.md, publicados en tres lugares independientes).
• ReleaseLog en cadena — hashes de lanzamiento anclados de forma append-only en Base (testnet en vivo ahora); rugsnare verify verifica tu instalación contra un hash que ha estado en el libro mayor desde el día del lanzamiento.
• Apache-2.0. Si alguna vez nos volvemos malintencionados — haz un fork de nosotros. Esa es la licencia funcionando como se pretende.

Investigación en curso sobre cómo los equipos evalúan servidores MCP: discussions/1 — 7 preguntas cortas, hallazgos publicados. Autor: @SergeyDruzhba en X.

Preguntas frecuentes

¿En qué se diferencia de MCP Inspector / Glama Inspector? Los inspectores (incluido el oficial) son herramientas de depuración interactivas: te muestran las descripciones de herramientas mientras miras. RugSnare las observa cuando no miras: las definiciones aprobadas están ancladas por hash, y cualquier cambio posterior — entre sesiones o a mitad de sesión a través del proxy — activa una alerta y hace fallar el CI. Herramientas complementarias: inspecciona antes de aprobar, ancla después.

¿Es otro escáner MCP? No. Los escáneres (snyk agent-scan, ex-mcp-scan) se ejecutan en el momento de la instalación. RugSnare se ejecuta después de la aprobación, para siempre.

Modelo de amenazas — qué cubre esto, honestamente

RugSnare ancla el contrato que tu agente obedece — { name, description, inputSchema } de cada herramienta aprobada — y detecta cualquier cambio silencioso en él, entre sesiones (diff de CI) y a mitad de sesión (proxy en vivo). No inspecciona implementaciones.

Ataque	RugSnare	La capa que lo posee
Descripción de herramienta reescrita después de la aprobación (instrucciones ocultas al agente)	✅ detectado	—
inputSchema mutado (parámetros session requeridos ocultos, estrechamiento de enums)	✅ detectado — ver corpus 02	—
Aparece una herramienta nueva / desaparece una herramienta aprobada después de la aprobación	✅ detectado	—
Sombreado de herramientas entre servidores (mismo nombre en dos servidores)	✅ detectado en scan, diff (rompe CI) y el proxy en vivo — el orden de resolución no documentado del cliente es el riesgo	—
Servidor camaleón (contrato limpio para herramientas de inspección, envenenado para clientes reales)	✅ detectado por rugsnare scan --chameleon — re-lista herramientas que se identifican como claude-desktop/cursor y compara hashes; cualquier diferencia por cliente sale con código 1	—
Cambio de indicador de comportamiento (readOnlyHint: true → false / añade destructiveHint) con texto y esquema idénticos byte a byte	✅ detectado — las anotaciones se anclan por separado del hash y se comparan a través de los valores por defecto de la especificación (destructiveHint ausente = true); un cambio es DRIFT/ANNOTATION en diff, CI y el proxy en vivo	—
Intercambio a mitad de sesión de un servidor ya conectado	✅ puesto en cuarentena en modo enforce	—
Código malicioso detrás de un contrato sin cambios	❌ fuera de alcance por diseño	firma de paquetes / procedencia / sandboxing
Datos tóxicos dentro de argumentos o respuestas de llamadas	✅ detectado (v0.3) — políticas + comprobaciones de fuga de PII en el proxy en vivo	—
Acción de agente secuestrada o destructiva (clase rm -rf, descarga-tubería-shell, sobrescritura de disco, fork bomb en argumentos de llamada)	✅ denegado por la política dangerous-shell por defecto en el proxy en vivo	—
Cliente o host MCP comprometido	❌	seguridad del host
Atacante con acceso de escritura a .rugsnare/pins.json (por ejemplo, un runner de CI comprometido)	⚠️ límite de confianza	haz commit de los anclajes al repositorio y protege la rama — los anclajes son tan confiables como el lugar donde los almacenas; los anclajes firmados están en la hoja de ruta

Si un atacante cambia el código pero no el contrato, ningún hash de descripción puede verlo — ese es el trabajo de otra capa. La defensa en profundidad significa capas; esta herramienta posee la capa de contrato por completo.

Probado en el campo

El informe de cambios silenciosos (repro/SILENT-CHANGES-REPORT.md): anclamos cada lanzamiento estable de los 4 servidores de referencia oficiales de @modelcontextprotocol/server-*, comparamos cada versión con la siguiente, y contamos cada cambio de contrato entre ellas.

Métrica	Valor
Pares de versiones medidos	66 (cobertura completa — cada lanzamiento de los cuatro servidores)
Pares con cambios silenciosos	23
BREAKING (esquema cambiado)	43
ANNOTATION (indicadores de comportamiento cambiados, consciente de valores por defecto de la especificación)	28
COSMETIC (descripción reformulada)	7
Nuevos elementos que aparecieron después de la aprobación	37 (24 herramientas, 5 prompts, 8 recursos)
Elementos eliminados después de la aprobación	24 (21 herramientas, 3 prompts)
Pares limpios (precisión, sin falsas alarmas)	43
140 hallazgos. Ni uno solo fue anunciado en un changelog. El paso individual más drástico: el sistema de archivos 2025.8.21 → 2025.11.25 cambió los 14 contratos de herramientas simultáneamente — 14 cambios de esquema RUPTURISTAS en una sola versión silenciosa; el historial de todo es una máquina de agitación: 31 elementos aparecieron (19 herramientas, 5 prompts, 7 recursos) y 24 desaparecieron a lo largo de sus 27 versiones. Reproduce en tu máquina: un comando, ~30 minutos, determinista — consulta el pie de página del informe.

Estado y hoja de ruta

Versión	Estado	Qué contiene
v0.1	✅ enviado	Puerta de CI (scan / diff / approve), verificación de lanzamiento en cadena, corpus de ataques, cero dependencias
v0.2	✅ enviado	Proxy stdio en vivo (rugsnare run) — cuarentena a mitad de sesión; detección de sombras; señales de asesoría; fijación de prompts y recursos; salida SARIF; informe de flota; hook de pre-commit; feed de deriva (monitoreo diario del ecosistema); 9 clientes de IA
v0.3	✅ enviado	Políticas de llamadas + comprobaciones de fuga de PII — denegar session:object, denegar credenciales en argumentos, requerir aprobación para herramientas destructivas; reglas personalizadas mediante .rugsnare/policies.json; bandera --timeout; código de salida 3 para errores de infraestructura
v0.3.1	✅ enviado	Hash dividido — clasificación de deriva RUPTURISTA (esquema) vs COSMÉTICA (prosa) (--schema-only / --prose-only); alertas de resumen con debounce; opción failMode: "closed" (--fail-closed) — el proxy bloquea errores internos en lugar de reenviarlos, para entornos estrictos
Acción PR-diff	✅ enviado	Diff legible por humanos del contrato de herramientas en solicitudes de extracción. Demo: PR #2 · action/pr-diff
v0.4	✅ enviado	Canary — rugsnare canary record/replay: registra llamadas reales de herramientas a través del proxy en vivo (opt-in, local), reprodúcelas contra una nueva versión del servidor, veredicto determinista (esquema RUPTURISTA / cambio de comportamiento / COSMÉTICO) con códigos de salida de CI; action/canary para GitHub Actions; recibos firmados — cadena de hash Ed25519 sobre el registro de auditoría, receipts sign/verify/export con un dossier alineado con AAT-05; detector de bucles como asesoría; verificación camaleón — scan --chameleon detecta servidores que ofrecen contratos diferentes por cliente; señales de asesoría extendidas (aperturas imperativas, frases explícitas de secuestro de instrucciones — asesoría forzada, parámetros opcionales portadores de exfiltración); política predeterminada dangerous-shell; init escribe un .gitignore que protege el estado local
v0.5	✅ enviado	Transporte HTTP para scan/diff (HTTP Streamable, SSE, paso de autenticación) · auto-configuración wrap/unwrap · escaneo de SKILL.md · diffs de esquema legibles por humanos en fijaciones ("parámetro requerido agregado 'mode'") · asesoría de versión flotante · entrada en el Registro MCP + imagen de Docker Hub
v1.0.0	✅ enviado	Paridad completa stdio/HTTP: reconocimiento ad-hoc --url previo a la instalación, doctor, envoltura HTTP (--port), grabación/reproducción canary sobre HTTP, políticas de llamadas + detector de bucles en el proxy HTTP, config con validación, events trim, unpin, inspección de resultados (asesoría) · Auditoría de Seguridad de IA: audit --input, redactado, --airgap · Bóveda de secretos: marcadores de posición {{VAULT:NAME}}, el proxy sustituye y depura · presupuestos + interruptor de apagado · fijaciones firmadas (Ed25519 pins.sig + pins.pub.pem comprometido, defensa contra atacantes de CI) · fijaciones en cadena de Base Mainnet · contrato de estabilidad (ver product/CHANGELOG.md) · fijación en cadena
RugSnare como herramienta MCP	✅ enviado	rugsnare mcp — servidor stdio de solo lectura (drift_feed_status sobre el feed público de deriva, pins_report sobre fijaciones locales) para mercados y agentes; fijado por su propia puerta (línea base dogfood en corpus/03); imagen Docker (docker/) + entrada de registro (registry/) preparadas
Más adelante	💭	Panel de políticas alojado · Salvaguardas de pago de agentes · Bóveda de secretos (la IA ve marcadores de posición, el proxy inyecta claves reales)

247 pruebas · CI en ubuntu+windows × Node 18/20/22 · CodeQL · probado en campo con paquetes reales · verificado en cadena · cero dependencias · sin telemetría.