Niemal każda instrukcja "zainstaluj ten serwer MCP" kończy się poleceniem npx lub uvx. To polecenie pobiera i uruchamia dowolny kod, który dostarczył autor, u Ciebie na maszynie, z Twoim środowiskiem powłoki i kluczami API leżącymi w plikach konfiguracyjnych. Model Context Protocol dał nam zgrabny model dystrybucji i po cichu pominął model zagrożeń. ToolHive, projekt na licencji Apache 2.0 od Stacklok z 1,8 tys. gwiazdek na GitHubie, traktuje to przeoczenie jako problem bezpieczeństwa, którym faktycznie jest.
Założenie jest bezceremonialne: nigdy nie uruchamiaj serwera MCP nago na swoim hoście. ToolHive zamyka każdy serwer w izolowanym kontenerze z minimalnym profilem uprawnień i bez dostępu do Twoich lokalnych poświadczeń. Do tego zarządza szyfrowanymi sekretami i pozwala domknąć izolację sieci lokalnym narzędziem, więc serwer, który potrzebuje tylko czytać jedno API, nie otworzy po cichu połączenia gdzie indziej. Na dokładkę jego semantyczne wyszukiwanie narzędzi tnie zużycie tokenów nawet o 85 procent, co ma znaczenie, gdy do jednego agenta podpięte jest kilkanaście serwerów.
Jest napisany niemal w całości w Go (99,7 procent repozytorium) i daje trzy sposoby sterowania: UI desktopowe, narzędzie wiersza poleceń thv oraz operator Kubernetes. To w operatorze mieszka historia dla firm: SSO OIDC/OAuth, bezpieczna wymiana tokenów, logi audytowe, ślady OpenTelemetry i metryki Prometheus, wszystko deklarowane przez własne zasoby. Najnowsze wydanie, v0.28.3, trafiło do sieci 2026-05-22, więc to działające oprogramowanie, a nie manifest.
Comparison data
| Izolacja kontenera | Szyfrowane sekrety | Izolacja sieci | Logi audytowe | |
|---|---|---|---|---|
| Surowa instalacja npx/uvx | No | No | No | No |
| ToolHive | Yes | Yes | Yes | Yes |
Teraz część, od której strona produktu nie zacznie. Kontener nie jest piaskownicą w ścisłym sensie. Kontenery dzielą jądro hosta, więc błąd pozwalający na ucieczkę z kontenera nadal sięga Twojej maszyny.
A głębsze ograniczenie jest pojęciowe: ToolHive izoluje serwer, ale go nie sprawdza. Nadal pobierasz obraz i ufasz temu, kto go zbudował, oraz rejestrowi, z którego pochodzi. Złośliwe narzędzie w środku pudełka może nadużyć dokładnie tej sieci i tych sekretów, które mu nadałeś, a wstrzykiwanie promptu w model działa tak samo jak wszędzie. Profil uprawnień jest tylko tak ciasny, na ile chce Ci się go domknąć.
To nie powód, żeby z niego rezygnować. Kontener z minimalnymi uprawnieniami i logami audytowymi bije surowy proces działający z Twoją pełną tożsamością za każdym razem. Wyceń to tylko poprawnie: ToolHive zmniejsza promień rażenia wrogiego serwera MCP. Nie usuwa bomby. Wyselekcjonuj rejestr, z którego pobierasz, a potem zamknij to w pudełku.