Filesystem MCP
Filesystem reference server демонстрирует чтение, поиск и изменение файлов через MCP. Официальная reference-реализация публикуется как @modelcontextprotocol/server-filesystem, но её статус не означает, что конфигурация безопасна для любой машины.
Доступ
Разрешённые каталоги задаются при запуске или через MCP Roots, если host и server это поддерживают. Динамически переданные Roots могут заменить исходный список, поэтому host остаётся частью security boundary.
Главное правило
Выдавай минимальную конкретную папку. Домашний каталог, корень диска, SSH-ключи, browser profiles и каталоги секретов не должны становиться доступными «для удобства».
Контроль операций
- отделять чтение от записи;
- создание нового файла отличать от перезаписи;
- перед массовым изменением показывать список целей и diff;
- проверять нормализацию путей,
..и symlink escape; - ограничивать размер чтения, поиска и возвращаемого контекста;
- использовать checkpoint или version control;
- удалять через восстанавливаемый механизм, если возможно.
Проверка
- Прочитать файл внутри тестового root.
- Получить отказ для соседнего каталога и symlink наружу.
- Создать новый файл без перезаписи существующего.
- Отклонить preview изменения и убедиться, что файл не изменился.
- Проверить журнал точных путей и операций.
- Изменить Roots и убедиться, что итоговая область ожидаема.
Источник
См. также: Протоколы Автономности, Безопасность MCP, Чек-лист агентной системы.