Aki MCP Server giữ quyền truy cập theo điều kiện của bạn

Whitelist nghiêm ngặt, không phải blocklist

Công cụ shell chỉ chạy lệnh bạn cho phép rõ ràng. Blocklist dễ lọt vì mặc định là cho phép; whitelist thì an toàn khi có sự cố.

• Fail-safe: lệnh lạ hoặc mới bị chặn tự động.
• Bề mặt tối thiểu: chỉ đúng các lệnh bạn duyệt mới chạy được.
• Chi tiết tới subcommand: git chỉ giới hạn ở status/log/diff/show.
• Hạn chế prompt injection: lệnh bị chèn không có câu lệnh ngoài danh sách để leo thang.
• Ưu tiên kiểm tra: các binary nhiều cờ có thể thoát khỏi chế độ chỉ-đọc bị cố tình loại ra, và các dạng ghi của git (branch -D, tag -d, remote set-url, --output=) bị từ chối mặc định.

Triết lý thiết kế: tiện dụng trước, guardrail sau. Allowlist bảo vệ trước model yếu hoặc quá hăng. Nó không phải ổ khóa chống lại chính bạn, chủ máy.

Xác thực và phân quyền

• Mọi lệnh gọi /mcp cần Bearer token OAuth 2.1 hợp lệ. Không có kiểu token-in-URL.
• Claude, ChatGPT, Grok và Notion kết nối bằng passphrase và tự đăng ký qua DCR (RFC 7591), nên không có Client ID hay Secret nào để dán; ChatGPT và Grok đăng ký như public client, Notion như confidential client. Chỉ Gemini dùng Client ID/Secret bí mật cấp sẵn mà akimcp in ra lúc khởi động.
• Chỉ redirect URI của các client đã biết được chấp nhận (claude.ai, chatgpt.com, grok.com, proxy OAuth redirect của Google cho Gemini, và các host callback cố định của Notion dưới notion.so và notion.com, khớp chính xác hostname qua https nên domain giả mạo bị loại), và client vẫn phải qua màn hình consent bằng passphrase và PKCE trước khi nhận token.
• Một access token dùng chung (hiệu lực một năm) phục vụ mọi client, nên panel hiển thị và roll nó ở một chỗ.

Tự chặn dò mật khẩu và nhìn rõ

Gatekeeper giới hạn tần suất thử sai, và mục 7 của panel cho thấy ai đang giữ quyền truy cập và ai đã dùng.

• 5 lần sai, bị chặn 15 phút: 5 thông tin xác thực bị từ chối trong 60 giây (sai passphrase, sai client secret, Bearer không hợp lệ ở /mcp) sẽ chặn người gọi 15 phút, trả 429 kèm Retry-After.
• Chặn tràn đăng ký: 100 lần POST /register trong 10 phút cũng bị chặn, và danh sách client ngừng tăng ở mức 500.
• Mỗi người gọi được đếm theo địa chỉ mà ingress của nó ghi: Cloudflare Tunnel theo CF-Connecting-IP, Tailscale Funnel theo phần tử cuối của X-Forwarded-For, edge riêng của bạn (PUBLIC_ORIGIN) theo một trong hai. Header mà ingress không ghi sẽ bị bỏ qua, nên client không tự chọn được khóa của mình (từ 3.0.1).
• Client thật an toàn: Bearer token hợp lệ không bao giờ bị tính hay từ chối, lỗi giao thức hoặc đường dẫn lạ cũng không bị tính.
• Bạn tự chỉnh: mọi ngưỡng đều chỉnh được ở mục 7 của panel, nơi liệt kê người gọi bị chặn kèm nút Release.
• Thấy tất cả: bảng Clients (lần đầu thấy, lần duyệt gần nhất, lần cấp token gần nhất, địa chỉ và agent), Active now, và 200 dòng mới nhất của security.log.
• Bí mật được che: passphrase và access token hiện dạng dấu chấm kèm nút con mắt, ảnh chụp màn hình không lộ gì.

Nếu lộ bí mật

Panel biến việc dọn dẹp thành vài cú bấm. Chọn dòng khớp với thứ bị lộ.

• Passphrase bị nhìn thấy: Roll passphrase, rồi Roll & sign out all clients.
• Access token bị nhìn thấy: Roll & sign out all clients.
• Có client lạ trong danh sách: cả hai lần roll, rồi kết nối lại các AI bạn tin.
• Connector không còn dùng: Remove, rồi Roll token.

Thông tin xác thực không lọt vào kết quả của tool

Các file chứa bí mật của chính akimcp bị đóng với mọi tool, và thứ gì vẫn lọt vào kết quả sẽ bị che trước khi tới nhà cung cấp AI.

• File thông tin xác thực bị đóng: công cụ file không đọc cũng không ghi tokens.json, passphrase.txt, oauth-client.json, oauth-dcr-clients.json hay cloudflared-cred.json. run_cmd và task_start từ chối lệnh nhắc tới các file này, còn search_content bỏ chúng khỏi kết quả.
• Che thông tin ở mọi kết quả: mọi giá trị dạng token lấy từ các file đó, passphrase và panel token trong instance.json đều hiện là [redacted], kể cả trong thông báo lỗi và trước khi output dài bị cắt. Nhờ vậy một lệnh grep -r lỡ quét thư mục dữ liệu, hay một bản sao nằm trong log của task, cũng không làm lộ bí mật.
• Chặn sai sót, không chặn được model cố tình: bản sao đã mã hóa (nén hoặc base64) sẽ không bị nhận ra, và model nào tự mở rộng allowlist tới một shell đầy đủ thì đọc được mọi thứ bạn đọc được. setting.json vẫn đọc và ghi được có chủ đích, để AI chỉnh thư mục và allowlist khi bạn nhờ.

Mỗi tầng bảo vệ điều gì

Mặc định AI làm được và không làm được gì

Đánh đổi thật lòng bạn phải biết

• Gốc file mặc định là toàn bộ thư mục home ($HOME) cộng ~/.aki và ~/.claude. Hãy thu hẹp trong panel trên máy nhạy cảm.
• ~/.claude được cấp ở mức thư mục, nên token phiên và lịch sử chat bên trong cũng nằm trong tầm với. Gỡ bằng cách sửa trực tiếp danh sách thư mục.
• Bất kỳ lệnh ghi nào bạn thêm vào allowlist (ví dụ git commit) là trách nhiệm của bạn và làm rộng bề mặt.
• Với một token dùng chung, Remove đăng xuất client nhưng chưa phải thu hồi tức thì. Roll token để cắt quyền ngay.
• Bộ giới hạn tần suất nằm trong bộ nhớ, nên khởi động lại sẽ xóa danh sách bị chặn. Tên client do client tự khai, nên hãy tin cột địa chỉ và thời gian hơn nhãn tên.
• Sau Tailscale Funnel, bộ chặn tin phần tử cuối của X-Forwarded-For. Việc Funnel ghi địa chỉ thật của người gọi vào đó được đọc từ mã nguồn của Tailscale, chưa thấy trên một request Funnel thật; header của Cloudflare Tunnel đã được xem trực tiếp.
• Gemini đang thử nghiệm: kết nối OAuth chạy được nhưng dùng tool chưa ổn định.

Thu hồi truy cập bất cứ lúc nào từ mục 7 của panel: Remove client, rồi Roll token. Nếu nghi lộ bí mật, dùng Roll & sign out all clients.