Exec Sandbox

mcp-exec

英語 | ロシア語

Go と MIT ライセンスによるオープンソースの公開 MCP サーバーです。単一の強力なツール exec を公開し、呼び出し元が指定した Python コードをネットワークから隔離された、制限付きのサンドボックスで実行して、stdout／stderr／exit_code を返します。これは「コード実行モード」を構成する基本要素です。エージェントのコンテキストを何百ものツールスキーマで埋め尽くす代わりに、エージェントがコードを書いて作業を調整します。

stdio／HTTP／SSE の3つのトランスポートに対応しており、どのトランスポートでも同じツールセットを利用できます（公式の modelcontextprotocol/go-sdk）。

exec ツール

入力：{ code: string (required), timeout_s?: int, stdin?: string } 出力：{ stdout, stderr, exit_code, duration_ms, truncated, timed_out }

• exit_code がゼロ以外、または timed_out=true の場合も、ツールエラーではなく通常の結果です。ツール呼び出しエラーになるのは、無効な入力（code が空、stdin がサイズ超過）のみです。
• サンドボックス v1：標準ライブラリに加え、PyYAML、Jinja2、Pillow、numpy、pandas、matplotlib を含む Python 3。

セキュリティモデル（不変条件）

実行ごとに、ネットワークなし、非 root、cap-drop=ALL、no-new-privileges、読み取り専用 rootfs、CAP_SYS_ADMIN なし、一時 tmpdir（実行後にクリーンアップ）、壁時計によるタイムアウト（プロセスグループ全体を強制終了）、メモリ／PID／CPU の制限、出力上限（1 MiB。超過時は truncated）が適用されます。インスタンス内では実行が直列化されます。レプリカを使用してスケールアウトしてください。呼び出し元のデータ（code／stdin／出力）は永続化されず、全内容がログに記録されることもありません。記録されるのはメタデータのみです。

exec は最も強力な機能です。エージェントに組み込む場合は、そのエージェントのツールポリシーで利用を制限してください（信頼されたロールのみ）。

ネットワークに関する注意： --network none が適用されるのは stdio のみです。HTTP/SSE ではポートを提供するためにコンテナにネットワーク接続が必要となるため、サンドボックス内のコードにも外部への通信が引き継がれます。オーケストレーター側で拒否してください。k8s では、ポートへの ingress を許可し、すべての egress を拒否する NetworkPolicy を設定します。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata: { name: mcp-exec-lockdown }
spec:
  podSelector: { matchLabels: { app: mcp-exec } }
  policyTypes: [Ingress, Egress]
  ingress: [{ ports: [{ port: 8080 }] }]
  egress: []   # deny all egress → sandbox has no network

実行

go build -o mcp-exec ./cmd/mcp-exec
MCP_EXEC_TRANSPORT=stdio ./mcp-exec

Docker（本番環境での推奨設定）：

docker run --rm -i --network none --read-only --cap-drop ALL \
  --security-opt no-new-privileges --user 65532:65532 \
  --tmpfs /tmp:rw,noexec,nosuid,size=64m \
  --memory 256m --pids-limit 128 --cpus 1 \
  idconstruct/mcp-exec

rootfs は読み取り専用であり、実行ごとに書き込み可能な一時ワークスペースが必要となるため、--tmpfs /tmp は必須です（一時ワークスペースは実行後にクリーンアップされます）。

認証（HTTP/SSE、任意）

MCP_EXEC_AUTH_TOKEN を設定すると、すべての HTTP/SSE リクエストに一致する X-MCP-AUTH ヘッダーが必要になります（比較は定時間で行われ、一致しない場合は 401 を返します）。空のトークンを設定すると無効になります。stdio には適用されません。

設定

環境変数	用途	デフォルト
MCP_EXEC_TRANSPORT	stdio | http | sse	stdio
MCP_EXEC_ADDR	http/sse のリッスンアドレス	:8080
MCP_EXEC_DEFAULT_TIMEOUT_S	デフォルトの実時間タイムアウト	30
MCP_EXEC_MAX_TIMEOUT_S	タイムアウトの上限	300
MCP_EXEC_MAX_OUTPUT_BYTES	stdout と stderr の合計上限	1048576
MCP_EXEC_MAX_STDIN_BYTES	stdin サイズの上限	1048576
MCP_EXEC_PYTHON	インタープリターのパス	python3
MCP_EXEC_AUTH_TOKEN	設定されている場合、http/sse では X-MCP-AUTH ヘッダーが必須です（定時間比較）。空の場合は無効です	``

v1 では未対応

bash／複数言語、サンドボックスからのネットワーク接続、他の MCP サーバーのサンドボックスへのプロキシ。

ライセンス

MIT。