Tcha MCP ファイアウォール は何をしますか？
Claude（または任意のMCPホストクライアント）とツール実行サーバー間に立ちはだかるインライントランスポートファイアウォール。1ミリ秒未満で確定的な境界ポリシーを強制します。
ポリシー強制マトリックス
| 脅威ベクトル | 攻撃パターン | ファイアウォールアクション |
|---|---|---|
| Cloud Metadata SSRF | http://169.254.169.254/...、metadata.google.internal | 拒否 (403) — IP範囲をブロック |
| パストラバーサル | ../../etc/passwd、..\..\Windows\System32 | 拒否 (403) — ワーキングルートを強制 |
| 破壊的ターミナル | rm -rf /、mkfs、format、dd if=/dev/zero | 拒否 (403) — ブラックリスト化されたバイナリパターン |
| 権限昇格 | chmod 777、sudo、Set-ExecutionPolicy Bypass | 拒否 (403) — 厳格なユーザー特権上限 |
| 外部流出 | 未検証ドメインへの発信DNS/HTTPリクエスト | フラグ/隔離 |
Claude Desktopの設定
Tchaをプロキシラッパーとして、~/Library/Application Support/Claude/claude_desktop_config.json（macOS）または%APPDATA%\Claude\claude_desktop_config.json（Windows）に追加します：
{
"mcpServers": {
"protected-tools": {
"command": "npx",
"args": ["-y", "tcha-protection", "guard", "--mcp"]
}
}
}
パフォーマンスと監査
- インターセプトオーバーヘッド：平均0.42ms。
- 出力：通過およびブロックされたすべてのアクションに対して検証可能な暗号ノンスを発行。
- ベンチマーク：公式Tcha Adversarial Test Suiteにおいて100/100の中和率を達成。