来源笔记
Show HN: Capframe – capability tokens for AI agent tool calls
摘要
Capframe 是一个本地 Rust 工具包，用于映射 MCP 工具访问、发放范围受限的能力令牌，并对 AI 代理的工具调用执行确定性策略。它面向代理连接外部工具时的间接提示注入和过高权限风险。
问题
- 通过 MCP 连接的 AI 代理可以访问很多工具、端点和参数，因此它们的真实权限很难检查。
- 未受约束的工具输入和间接注入面会让恶意内容影响工具调用，或者推动代理越过预期权限。
- 安全团队需要能映射到 OWASP LLM Top 10、NIST AI RMF 和 MITRE ATLAS 的审计证据。
方法
find会遍历 MCP 服务器和工具端点，记录参数，标记未受约束的输入和间接注入面，并写出capframe.findings.json。bind发放范围受限、可撤销的能力令牌，带有类似 macaroon 的权限收缩、ed25519 持有者密钥绑定、max_refund=50这样的限制，以及使用 HMAC-SHA256 的签名拒绝回执。guard在运行时用确定性的 Rust 代码评估每次工具调用对应的 YAML 策略，因此允许和拒绝判断不依赖 LLM。report导出 HTML 或 PDF 证据，并映射到 OWASP LLM、NIST AI RMF 和 MITRE ATLAS 控制项。
结果
- 示例扫描映射了 2 个 MCP 服务器上的 14 个工具，并发现 3 个工具存在与 OWASP LLM01 相关的未受约束输入。
- 另一个示例还发现了 1 个与 OWASP LLM01 和 MITRE ATLAS T0051 相关的间接注入面。
- 示例令牌将
shopify-bot限定为 2 个工具、2 个限制项和 24 小时 TTL；具体限制包括max_refund≤50和region=eu。 - Guard 回测报告显示，默认语料库的 247/247 个案例通过了 14 条规则和 3 个类别，假阳性率为 0.0%。
- 报告示例显示 OWASP LLM Top 10 覆盖了 10 项中的 4 项，存在 2 个未解决发现，标记了 2 个 MITRE 技术项，没有活跃利用。
- 运行时策略评估据称可在个位数微秒内完成。