vaquarkhan/MCP-Bastion — Model Context Protocol용 엔터프라이즈 보안 미들웨어

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

TL;DR

에이전트가 외부 도구를 무한 반복 호출하거나 로컬 데이터에서 PII를 추출해 외부 LLM으로 유출하는 위험을 완화하기 위해 MCP-Bastion이라는 오픈소스 로컬 미들웨어가 제안되었다. 이 미들웨어는 들어오는 MCP JSON-RPC 요청을 가로채 Presidio로 개인식별정보를 탐지하고 PromptGuard로 프롬프트 인젝션을 검사한 뒤 규칙에 따라 마스킹·차단·전달을 결정하며 호출 빈도는 토큰 버킷 기반 속도 제한으로 제어한다. 구성 요소와 패키지가 공개되어 있어 소스 검토 후 로컬 배포로 민감정보 유출과 비용 과다 사용을 동시에 줄일 수 있다는 점이 핵심이다.

실용적 조언

MCP를 프로덕션으로 배포할 때는 미들웨어 계층을 로컬에 배치하여 외부 모델 호출 전에 메시지를 검증하는 것이 유효하다. 글에서 언급된 것처럼 Presidio로 PII를 식별하고 PromptGuard로 인젝션을 검사하면 외부로 민감정보가 노출되는 위험을 줄일 수 있으며 이들 검사는 네트워크를 통하지 않는 로컬 실행으로 구성해야 데이터 유출 표면을 최소화할 수 있다. 또한 검사 결과에 따라 마스킹·차단·경고를 단계별로 적용하면 운영 중 허용 오탐과 차단의 균형을 맞출 수 있다.
무한 도구 호출이나 반복적인 비용 폭증을 막기 위해서는 토큰 버킷 같은 계량 기반 속도 제한을 적용하고 이상 탐지 로그를 함께 수집해야 한다. 미들웨어에서 호출 카운트와 토큰 소진 상태를 추적하면 임계치 초과 시 자동으로 호출을 중지하거나 운영자에게 알릴 수 있으며 이와 병행해 호출 패턴의 기록을 남기면 재현 가능한 원인 분석이 가능하다. 원문에 공개된 GitHub와 PyPI 링크를 참고하여 소스와 패키지를 검토한 뒤 조직의 인증·로그 정책과 통합하는 작업이 권장된다.

섹션별 상세

에이전트가 외부 도구를 반복 호출하면서 비용 소진이나 지갑 거부(denial of wallet) 상태에 빠지거나 로컬 데이터베이스에서 민감정보를 유출할 위험이 높은 상황이 문제로 제기되었다. MCP-Bastion은 에이전트가 보내는 JSON-RPC 요청을 미들웨어 단계에서 가로채 입력 내용을 분석하고 차단 규칙을 적용하는 구조로 동작한다. 원문에 따르면 이 프로젝트는 오픈소스 형태로 공개되어 있으며 실제로 로컬에서 동작하도록 설계되어 외부로 민감 데이터를 전송하지 않는다. 해당 접근은 프로덕션 환경에서 에이전트의 비정상적 호출 패턴과 데이터 유출 리스크를 낮추는 방안으로 제시되었다.

MCP-Bastion은 JSON-RPC 메시지를 수집한 뒤 내부 검사기들을 순차적으로 적용하는 처리 파이프라인을 구성한다. 먼저 Presidio를 통해 텍스트에서 PII를 탐지하고 필요하면 마스킹하거나 차단한 뒤 PromptGuard로 프롬프트 인젝션과 관련된 패턴을 검사하여 의심스러운 지시를 무효화하거나 경고를 생성한다. 원문에서는 이 두 도구를 로컬에서 사용한다고 명시되어 있어 네트워크로 민감정보를 전송하지 않는 점이 강조되었다. 이런 연속 검사 과정은 외부 LLM으로 전달되기 전 입력의 유해성이나 민감도를 낮추는 효과를 가진다.

무한 루프나 과도한 도구 호출을 자동으로 중단하기 위한 제어 메커니즘으로 토큰 버킷 기반의 속도 제한을 도입했다고 발표되었다. 미들웨어는 각 에이전트나 호출 유형별로 토큰을 할당하고 호출 시 토큰을 소모하며 한계에 도달하면 추가 호출을 거부하거나 프로세스를 종료하는 식으로 동작한다. 원문에 이 기능을 통해 'runaway loops'를 자동으로 죽일 수 있다고 명시되어 있어 비용 통제와 서비스 안정성 측면에서 실무적 이점을 제공한다고 판단된다. 이 방식은 장기화된 자동 호출로 인한 비용 폭증과 자원 고갈 위험을 완화하는 데 실질적인 수단이 된다.

용어 해설

JSON-RPC: — 클라이언트와 서버가 원격 절차 호출을 JSON 형식으로 주고받는 경량 프로토콜로, 본문에서는 에이전트가 도구 호출을 JSON-RPC 메시지로 전송하고 미들웨어가 해당 메시지를 가로채어 검증·차단하는 통신 경로로 사용된다.
토큰 버킷 속도 제한(Token Bucket Rate Limiting): — 일정량의 토큰이 시간에 따라 채워지고 호출 시 토큰을 소모하는 방식의 속도 제한 알고리즘으로, 본문에서는 각 에이전트의 도구 호출을 계량하고 토큰이 소진되면 자동으로 호출을 차단하여 무한 루프를 방지하는 데 사용된다.
개인식별정보(PII) 탐지(PII Detection): — 텍스트에서 주민등록번호, 이메일, 전화번호 등 개인식별정보를 식별·표시·마스킹하는 프로세스로, 본문에서는 로컬 검사기로 PII를 찾아 외부 LLM 전송을 차단하거나 마스킹하는 보안 계층 역할을 수행한다.
프롬프트 인젝션(Prompt Injection): — 입력 문서나 외부 컨텍스트에 악의적 지시를 숨겨 모델 동작을 바꾸려는 공격 기법으로, 본문에서는 PromptGuard 같은 검사기를 통해 입력에 포함된 악성 지시를 탐지하고 전달 전 차단하거나 중립화하는 방식으로 방어한다고 기술되어 있다.

언급된 도구

MCP-Bastion추천링크

MCP JSON-RPC 호출을 로컬에서 가로채어 PII 탐지·프롬프트 인젝션 검사·속도 제한을 적용하는 보안 미들웨어

Presidio중립

텍스트에서 개인식별정보(PII)를 탐지하고 마스킹·분류하는 라이브러리로서 미들웨어의 PII 검사 엔진 역할

PromptGuard중립

입력 프롬프트 내부의 악성 지시나 인젝션 패턴을 탐지하는 검사기 역할

언급된 리소스

GitHubMCP-Bastion GitHub

문서MCP-Bastion PyPI