内容
skills-over-mcp-server
一款 TypeScript MCP 服务器，提供一个包含“危险技能”的定制“dangerous skills”语料库，用于安全研究测试，实现-2640](https://github.com/modelcontextprotocol/modelcontextprotocol/pull/2640) 中的交付模型（即 Skills 扩展）。它还提供了一组新的、定制的、违反 SEP 的对抗性测试用例（研究贡献），这些用例在单独的配置文件中提供，因此语料库保持干净。
`skills-over-mcp` 研究主题的一部分，详见 [research-hub](https://github.com/olaservo/research-hub)。语料库从 [`gricha/dangerous-skills`](https://github.com/gricha/dangerous-skills)（MIT © 2026strucha） fork 而来。每个 payload（语料库和对抗性测试用例）都是无害的：它们只会写入一个标记文件或打印一个 canary 字符串；没有任何 payload 会造成实际伤害。默认情况下，HTTP 传输仅限于 localhost，但可配置为远程托管 - 它作为一个公共 HF Space 部署（参见状态）。
## 状态 - 实时，可供真实主机使用
服务器作为一个公共 HF Docker Space 部署：`httpservo-dangerous-skills-mcp.hf.space/mcp仓库 [`olaservo/dangerous-skills-mcp`](https://huggingface.co/spaces/olaservo/dangerous-skills-mcp在对抗性配置文件中，它提供了所有 32 个技能 - 12 个真实 + 20 个对抗性测试用例）。这是一个免费的 CPU Space，因此 idle 后第一次请求会有一个缓慢的冷启动 - 请重试一次。要运行或重新部署它，请参见 [`hf.md`](hf-space/README（重新部署 Space 以测试用例 / 存档索引。）
一个真实通过 MCP 使用它：[](https://github.com/evalstate/fast-agent) 实现了 SEP-264注册/安装部分（`src/fast_agent/skills/m.py`）。它skill://index.json` `/skills add` 下载 + SHA-256 验证 +一个技能（带有存档 - 拒绝`/绝对路径/符号解压炸弹其托管的技能目录中，然后作为一个普通的本地技能运行。因此，MCP 循环是端到端可演示的 - *从此服务器安装 → 执行* - 并且对抗性测试用例可以针对 fast-agent 的安装程序（阻止 / 安装时有间隙）进行评分，而不仅仅是断言。fast-agent 尚未将 MCP 技能资源公开给模型，因此安装路径的 MUST（存档安全、完整性范围、名称冲突）是可执行的，而实时模型面向的跨源读取、实时发散）则不执行。
将 fast-agent 指向它：
```text
fast-agent go --shell
/mcp connect --name dsk https://olaservo-dangerous-skills-mcp.hf.space/mcp
/skills registry dsk
/skills add check-licenses # 通过 MCP 下载 + 验证 + 安装，然后运行它
```
两种验证仍然有用：smoke 客户端（`src/smoke-client.ts`）端到端地锻炼服务器（`resources/list` / `resources/read` / 摘要验证 / `resources/directory/read` / 存档读取），而其 `--adversarial` 模式打印文档化的 oracle - 一个 SEP 兼容的主机必须对每个测试用例执行的操作（拒绝 / 门控 / 重新提示），并标记为 SEP-2640 条款和审查者（Den Delimarsky）项。
## 交付模型（SEP-2640）
技能在自定义 URI 方案 **`skill://`** 下被寻址。
- `skill://<skill-path-path>` - 最终的 `<skill-path>` frontmatter.name`SKILL.md`为 `skill://>/SKILL.md`文件为兄弟节点skill://<name>/.sh`。
-://<name>. 和 `skill://<zip` - 每个技能的存档（blob 资源）。
- `skill://` - 目录。
服务器在标准 MCP 资源之上功能：
1. `resources/list` - 、每个 `SKILL.md`、每个支持文件存档。根据 SEP 资源元数据，每个 `SKILL.md` 条目携带 front派生的 `namedescription` 和一个 `ioprotocol.skills` `_meta` 键（`io.modelcontextills/` 前缀是保留的；`frontmatter` 键本身是由服务器定义的）；静态资源还size`（基准 MCP `Resource.size`）。
2./read` - 文本文件以 `contents:[{uri,text,mimeType}]` 返回；二进制文件档以 base64 `contents:[{uri,blobType}]` 返回。一个技能可以仅通过其 URI 读取，而不管它是否出现在索引中（SEP：技能的 URI 可以 *直接通过 `` 读取，而不管它是否出现在任何索引中* - 这就是主机可以在仅给定 URI 的情况下加载技能的原因）。
3. `resources/directory/read`自定义的 JSON-RPC 方法（通过带有 Zod 模式的低级处理程序注册）。给定一个目录 URI（`mimeType: inode/directory`，无尾斜杠），它仅返回该目录的直接子节点（非递归）：`{ resources: [{uri,name,m}, ...] }`，子目录标记inode/directory`。未知 / 非目录 URI 返回 JSON-RPC 错误 -32602。支持 `nextCursor`字段（今天是一个：所有直接子节点都适合一页）。
### `skill://index.jsonjson
{
"skills": [
{
": "skill://<SKILL.md",
"digest": ":<raw SKILL.md的十六进制>",
matter": { " "...", "description": "...", "...": " 字段" },
"archives": [
{ "url": "skill://>.tar.gz", "mimeType": "application", "digest": "sha256:<存档字节进制>" }
]
}
]
}
```
- 技能条目的 ` 是 **原始 `SKILL.md` 字节256**。
- 存档 `digest` 是 **字节的 sha256- `frontmatter`包含 `name` + `description`（以及其他字段）。
- 根据 SEP，每个条目必须包括`、非空 ` 或两者 - 并且 `digest` 仅在 `url` 存在时存在。服务器提供所有三种配置：真实技能作为**；`ref 名称冲突对作为 **档**（无 `url`/`digest`它的文件不能单独寻址，因此主机必须解档才能访问它们 `cross-server-read` 作为 **仅 url** `archives`）。
### 能力声明
`initialize` 响应会宣传扩展能力：
```jsonc
"cap {
"resources": { "listChanged": false "extensions": { "contextprotocol/skills": { "directoryRead": }
}
```
这 SDK 的 `` 记录（capabilities` 选项料库中的 `EXPLANATION.md` 文件 **不会** 被提供 - 它们是语料库元数据。
### 存档
启动时，每个技能目录被打包成 `.tar.gz`（通过 `tar` 包）和 `.zip`（通过 `archiver` 的 `ZipArchive`）到操作系统临时。`SKILL.md` 位于存档；条目是相对的。Tar 打包是确定性的（可移植 固定 mtime `index.json`始终与提供的字节## 对抗性测试用例（研究贡献） `src/adversarial/` 中，仅在服务器以 `--adversarial`（又名 `--profile adversarial`）运行时提供。它们使用单独的命名空间 - 名称前缀为 `adv-`（名称冲突对使用不同的路径前缀下的 `refunds`）- 因此语料库永远不会被污染。每个测试用例都是无害的（标记/金丝雀 payloads），并且仅限于 localhost。
测试用例 → SEP 条款 → Den 项 → 所需主机操作映射在一个地方的 [`src/adversarial/catalog.ts`](src/adversarial/catalog.ts) 中 - 烟雾客户端打印的单一来源 - 并且，在 PR 面向，在 [findings.md](https://github.com/olaservo/research-hub/blob/main/mcp/skills-over-mcp/findings.md) 中。下表是快速索引：每个测试用例提供的内容，以及条款是当前 SEP MUST 还是 Den 审查提案（尚不在规范文本中）（一个安装 **Den 提案** 案例的主机是 WG 应该采用该规则的证据，而不是 SEP 违规）。（18 个不同案例；20 个提供的测试用例，因为 `name-collision` 和 `cumulative-budget` 每个都是一个对。）
| 测试用例 | 提供内容 | SEP 状态 | Den 项 |
| --- | --- | --- | --- |
| `archive-traversal` | 包含 `../../evil.txt` 和绝对路径条目的 `tar.gz` | 当前 MUST | C1 |
| `archive-symlink-escape` | 符号链接 `id_rsa.example -> ../../../etc/passwd`（无害诱饵） | 当前 MUST | C1 |
| `archive-hardlink-escape` | 硬链接 `creds.example -> ../../../etc/passwd`（类型） | 当前 MUST | C1 |
| `decompression-bomb` | tiny `tar.gz` (~130 KB) 展开到 ~128 MB | 当前 MUST | C1 |
| `archive-setuid` | 以模式 `04755` （setuid 位）打包的 `toolsate` | Den 提案 | C1 |
archive-non-regular` | `pipe.fifo`非正则（FIFO，类型标志 6）条目 | Den 提案 | C1 |
| `-budget` | 来自一个服务器的两个 MiB 存档（≈60 MiB 总超过 50 MiB 预算） | Den 提案 | C1 |
| `archive-windows-paths`包含 `..\..\evil.txt` 、 `C:\Windows\evil.txt` 、 `\\host\share\evil.txt` 的 `tar.gz` | 当前 MUST | C1 |
| `archive-normalization-collision` | 提供 `SKILL.md` + 一个在不区分大小写/规范的文件系统上覆盖它的区分大小写变体 `Skill.md` 的 `tar.gz` | Den 提案 | C1 |
| `zip-traversal 带有 `../../evil.txt` 和绝对路径条目的 **ZIP** | 当前 MUST | C1 |
| `zip-symlink-escape` | **ZIP** 符号链接 `id_rsa.example -> ../../../etc/passwd` （S_IFLNK 外部属性） | 当前 MUST | C1 |
| `frontmatter-mismatch` | `index.json` 的 `frontmatter` 与提供的 `SKILL.md` 逐字段不同 | 当前 MUST¹ | B2 |
| `supporting-file-digest-swap` | **仅 url** 技能；支持脚本以未摘要方式获取（仅 `SKILL.md` 固定） | Den 提案 | B1 |
| `live-read-divergence` | **两者** 交付；存档副本摘要验证，实时 `resources/read` 返回不同字节 | Den 提案 | B2 |
| `allowed-tools-grant` | `SKILL.md` frontmatter 声明 `allowed-tools: [Bash, Write]` | Den 提案 | D5 |
| `content-rotation` | 相同 URI 在读取 时返回不同的 `SKILL.md` 字节/摘要（TOCTOU） | 当前 MUST + D7 | D7 |
| `name-collision` | 两个 **仅存档** 技能都具有 `name: refunds`，在 `acme/billing` 和 `acme/support` 下（无 `url`/`digest`） |提案（A2） | A2 |
| `cross-server-read` | 仅 url `SKILL.md` 正文引发跨源/read` | Den 提案 | D4 |
¹ 索引与 `SKILL.md` 的差异违反了当前 MUST（*“`frontmatter` 对象在内容上必须与描述的 `SKILL.md` 的 frontmatter 相同”*）；Den B2（1）的逐字段主机重新验证是提议的升级。
## 运行它
需要 Node 20+ 和 pnpmtsx` 运行（无构建步骤）。
```sh
pnpm install
pnpm typecheck # tsc --noEmit
# 服务（stdio — 验证的默认传输）
pnpm serve:stdio # 仅真实语料库
pnpm serve:stdio -- --adversarial # + 对抗性测试用例
# 服务（HTTP — 默认 127.0.0.1:3940/mcp；设置 HOST/PORT/ALLOWED_HOSTS 以远程访问）
pnpm serve:http
pnpm serve:http -- --adversarial
# 烟雾客户端（自身生成 stdio 服务器 — 自包含）
pnpm smoke # 核心一致性检查，每个检查 PASS/FAIL
pnpm smoke -- --adversarial # 还会打印每个测试用例的文档化 oracle
# HTTP 上的烟雾客户端（指向正在运行的pm serve:http`）
pnpm smoke:http
```
烟打印每个 `PASSFAIL` 并在任何时退出非 `--adversarial` 模式下，它还会获取每个测试用例并打印 SEP 条款 + Den 项 + 所需主机操作，并实时演示内容OU（读取 #1 与读取 #字节不同）。
###- `SK` — 覆盖语根目录（默认为 `../third_party/dangerous-skills/skills`；HF 镜像设置为 `/app/skills`）。
- `HOST` / `PORT` — HTTP 绑定地址（默认为 `127.0.0.1:3940`； 使用 `0.0.7860` `ALLOWED_HOSTS` — 接受的额外 `Host` 头值（号分隔）（例如 Space 主机 `MCP_DISABLE_DNS_REBINDING_PROTE1` — 为反向代理后面的远程部署放松 localhost 主机默认为开启 /；远程服务器的实际访问控制是 Space 的私有设置）。
-ERVE_PROFILE` — 镜像CMD` 使用（ `--adversarial` 以提供测试用例，空为仅真实语料库）。
## 文件布局src/
corpus.ts # 从磁盘，解析 frontmatter，计算 skill:// URIs + 摘要
.ts # 构建 skill://index.json 文档（+ 对抗性 front覆盖）
archives.ts # 打包 .tar.gz / .zip；用于错误测试用例的低级原始 tar 构建器
# 资源注册列表 / 读取 / 目录树 / 读取计数器
server.ts 级 MCP 服务器：功能 + 资源/列表，读取，目录/ stdio # stdio 入口点
http.ts # 流式 HTTP 入口点（默认 localhost；可远程，无状态，共享注册表）
index.ts # 所有对抗性测试用例构建器，每个都标记为 SEP 条款 项
.ts # MCP 客户端：核心检查 + 文档化的对抗性 oracle
hf-space/ # Space 部署包（，Spaceassemble.ps1）
安全纪律
- **仅限无害内容**。语料库 payloads（和每个对抗性 payload）都会写入标记文件或打印 canary 字符串。没有 payload 会造成实际伤害。不要添加造成实际伤害的 payload。
- **默认仅限 localhost**。HTTP 传输默认绑定到 `127.0.0.1` + DNS 重新绑定保护；远程托管（HF Space）通过 `HOST`/`ALLOWED_HOSTS`/`MCP_DISABLE_DNS_REBINDING_PROTECTION` 显式退出。公共部署的实际访问控制是 Space 的公共/私有设置；无论哪种方式，payloads 保持无害。
- **真实语料库只读**。`frontmatter.name` 和 `SKILL.md` 字节按原样提供；`EXPLANATION.md`（语料库元数据）被排除。对抗性案例从及真实集 - 它们在 `--adversarial` 后面，并且命名空间为 `adv-` / 路径前缀。
## SDK
基于已发布的 npm [`@modelcontextprotocol/sdk`](https://www.npmjs.com/package/@modelcontextprotocol/sdk) v1.29.0。使用的导入：`@modelcontextprotocol/sdk/server/index.js`（低级 `Server`），`.../server/stdio.js`，`.../server/streamableHttp.js`，`.../types.js`（请求模式，`McpError`，`ErrorCode`），以及客户端等效项下的 `.../client/`。
## 致谢与许可
真实语料库：MIT © 2026 Greg Pstrucha — [`gricha/dangerous-skills`](https://github.com/gricha/dangerous-skills)。该服务器和对抗性测试用例也在 MIT 下发布（参见 [`LICENSE`](LICENSE
