क्या Claude MCP सुरक्षित है? Playwright, ब्राउज़र और Blender MCP के जोखिम

Claude MCP उतना ही सुरक्षित है जितने सर्वर आप जोड़ते हैं और जितनी अनुमतियाँ आप देते हैं। Model Context Protocol खुद सिर्फ़ एक मैसेजिंग फ़ॉर्मेट है। असली खतरा इस बात में है कि कोई सर्वर आपकी मशीन पर किस चीज़ तक पहुँच सकता है, मॉडल रास्ते में कौन-सा अविश्वसनीय टेक्स्ट पढ़ता है, और आप "Always allow" पर कितनी बार बिना सोचे क्लिक करते हैं। तीन लोकप्रिय सर्वर इस समस्या की पूरी रेंज दिखाते हैं: Playwright, browser MCP सर्वर और Blender MCP। एक ब्राउज़र चलाता है, एक आपके लॉग-इन सेशन उधार लेता है, और एक 3D ऐप के भीतर मनमाना Python चलाता है। नीचे आप देखेंगे कि इनमें से हर एक क्या कर सकता है, असल दुनिया में क्या गड़बड़ हो चुका है, और वे सटीक सेटिंग्स कौन-सी हैं जो नुकसान को छोटा रखती हैं।

संक्षिप्त उत्तर

Anthropic ने नवंबर 2024 में MCP पेश किया, जो Claude के लिए बाहरी टूल्स को कॉल करने का एक मानक तरीका है: फ़ाइलें पढ़ना, डेटाबेस क्वेरी करना, वेब पेजों पर क्लिक करना, क्रिएटिव सॉफ़्टवेयर चलाना। आज हज़ारों कम्युनिटी सर्वर मौजूद हैं, और उनमें से ज़्यादातर उन लोगों ने लिखे हैं जिनसे आप कभी नहीं मिलेंगे।

तो क्या यह सुरक्षित है? यह रही ईमानदार रेटिंग:

• काफ़ी सुरक्षित: केवल-पढ़ने वाले सर्वर, जो ऐसे डेटा पर चलते हैं जिसे आप पहले ही साझा कर सकते थे, जिनका दायरा सीमित हो और हर कॉल पर मैन्युअल मंज़ूरी हो।
• जोखिम भरा: ऐसे सर्वर जो उस ब्राउज़र या ऐप के भीतर आपकी ओर से काम करते हैं जहाँ आप पहले से साइन इन हैं।
• डिज़ाइन से ही ख़तरनाक: कोई भी टूल जो कोड चलाता है, जैसे execute_blender_code।

💡 डेवलपर Simon Willison इस सबसे खराब संयोजन को lethal trifecta कहते हैं: निजी डेटा तक पहुँच, अविश्वसनीय कंटेंट के संपर्क में आना, और डेटा बाहर भेजने का कोई रास्ता। अगर किसी एक एजेंट के पास ये तीनों हों, तो एक अकेला शत्रुतापूर्ण वेब पेज उसे भटका सकता है। ब्राउज़र सर्वर बिना कुछ और जोड़े ही इनमें से दो दे देता है।

इस लेख का बाकी हिस्सा न्यूनतम विशेषाधिकार (least privilege) के बारे में है: हर सर्वर को उतनी ही पहुँच दें जितनी काम के लिए ज़रूरी हो, और जो भी कोड चला सकता है उसके चारों ओर sandbox लगाएँ।

MCP सर्वर अपनी ताक़त कैसे पाते हैं

वे आपकी तरह चलते हैं

लोकल MCP सर्वर सामान्य प्रोग्राम हैं जिन्हें आपका क्लाइंट आपके कंप्यूटर पर लॉन्च करता है, आमतौर पर npx, uvx या Docker के ज़रिए। ये आपके अकाउंट की अनुमतियाँ विरासत में लेते हैं: आपकी फ़ाइलें, आपके environment variables, आपका नेटवर्क। प्रोटोकॉल में कोई sandbox नहीं आता। Claude Code का अपना दस्तावेज़ इसे साफ़ कहता है: किसी भी सर्वर से जुड़ने से पहले जाँच लें कि आप उस पर भरोसा करते हैं, क्योंकि जो सर्वर बाहरी कंटेंट लाते हैं वे prompt injection के सामने आपको खतरे में डाल सकते हैं।

अब तक का रिकॉर्ड बताता है कि यह सलाह क्यों ज़रूरी है:

• जून 2025: Anthropic का अपना MCP Inspector, एक डीबगिंग टूल, एक remote code execution खामी के साथ आया, जिसे बाद में पैच कर दिया गया।
• जुलाई 2025: लोकप्रिय mcp-remote पैकेज में command injection बग था (CVE-2025-6514)।
• 2026 की शुरुआत: एक इंडस्ट्री आँकड़े के अनुसार लगभग दो महीनों में MCP इम्प्लीमेंटेशन के खिलाफ 30 से ज़्यादा CVE दर्ज हुए।

npx -y some-package के साथ सर्वर लॉन्च करने पर हर बार नया कोड डाउनलोड होकर चलता है। इसके बजाय वह वर्ज़न पिन करें जिसे आपने जाँच लिया हो।

मॉडल हर विवरण पढ़ता है

हर टूल के साथ एक टेक्स्ट विवरण आता है, जिसे मॉडल पढ़ता है और जिसे आप आम तौर पर कभी नहीं देखते। अप्रैल 2025 में Invariant Labs ने इस तरह के हमले को tool poisoning नाम दिया: "दुर्भावनापूर्ण निर्देश MCP टूल विवरणों के भीतर छिपे होते हैं, जो उपयोगकर्ताओं को दिखाई नहीं देते लेकिन AI मॉडल को दिखाई देते हैं।" इससे जुड़ी एक और चाल, rug pull, सर्वर को मंज़ूरी देने के बाद विवरण बदल देती है।

कंटेंट भी मॉडल को ज़हर दे सकता है। मई 2025 में Invariant Labs के शोधकर्ताओं ने दिखाया कि सार्वजनिक GitHub issues में डाला गया शत्रुतापूर्ण टेक्स्ट, GitHub MCP सर्वर से जुड़े एजेंट को निजी रिपॉज़िटरी का कोड एक सार्वजनिक pull request में लीक करने पर मजबूर कर सकता है। सर्वर ने कुछ गलत नहीं किया। एजेंट ने बस उस टेक्स्ट का पालन किया जिसे उसे डेटा मानना चाहिए था।

Playwright MCP के जोखिम

Microsoft का Playwright MCP Claude को एक असली ब्राउज़र देता है। मॉडल संरचित snapshots के ज़रिए हर पेज पढ़ता है, और फिर क्लिक करता है, टाइप करता है और पेजों के बीच जाता है। यही वजह है कि यह टेस्टिंग और रिसर्च के लिए इतना उपयोगी है, और यही वजह है कि इसे तीनों में सबसे सावधानी भरे सेटअप की ज़रूरत है।

एक ब्राउज़र जो आपकी ओर से काम करता है

ब्राउज़र सेशनों का एक बंडल है। डिफ़ॉल्ट रूप से Playwright MCP डिस्क पर एक persistent profile रखता है (Windows पर %USERPROFILE%\AppData\Local\ms-playwright\ के अंतर्गत), इसलिए एक रन में जिस चीज़ में आप साइन इन करते हैं, वह अगले रन में भी साइन इन रहती है। ब्राउज़र डिफ़ॉल्ट रूप से headed mode में खुलता है, और हर लोड होने वाला पेज टेक्स्ट सीधे मॉडल के context में डालता है।

इन तथ्यों को साथ रखें तो जोखिम साफ़ है। रिसर्च के लिए आप जो पेज खोलते हैं उसमें निर्देश हो सकते हैं, और मॉडल के पास उन्हें मानने के लिए click और type टूल मौजूद हैं।

origin फ़िल्टर क्यों कम पड़ते हैं

README साफ़ कहता है: "Playwright MCP is not a security boundary." --allowed-origins फ़्लैग डिफ़ॉल्ट रूप से सब कुछ allow करता है, और दस्तावेज़ बताता है कि यह security boundary के रूप में काम नहीं करता और redirects पर लागू नहीं होता। --blocked-origins फ़्लैग allowlist से पहले मूल्यांकित होता है, लेकिन वही सीमाएँ इस पर भी लागू होती हैं। दोनों को एक स्पीड ब्रेकर समझें जो भूल से होने वाली गलतियाँ पकड़ता है, दीवार नहीं।

फ़ाइल एक्सेस डिफ़ॉल्ट रूप से सख़्त है। सर्वर फ़ाइल सिस्टम को workspace roots तक सीमित करता है और file:// URLs को ब्लॉक करता है। --allow-unrestricted-file-access फ़्लैग ये दोनों सीमाएँ हटा देता है, इसलिए इसे कभी ऐसे सेशन में इस्तेमाल न करें जो खुले वेब पर जाता हो।

वे सेटिंग्स जो नुकसान घटाती हैं

• --isolated प्रोफ़ाइल को memory में रखता है और ब्राउज़र बंद होने पर उसे हटा देता है।
• --headless बिना निगरानी वाले रन के लिए ठीक है, हालाँकि तब आप देख नहीं पाते कि क्या हो रहा है।
• अपनी staging साइटों की एक छोटी सूची के साथ --allowed-origins भटकने की गलती कम करता है।
• --allow-unrestricted-file-access बंद रखें।
• अपने रोज़ के ब्राउज़र पर --extension से बचें: यह Claude को चल रहे Edge या Chrome इंस्टेंस से जोड़ता है, जिसके भीतर की हर सेशन उसके पास होती है।
• बिना निगरानी वाले कामों के लिए सर्वर को Docker में चलाएँ।

एक शुरुआती कॉन्फ़िगरेशन:

{
  "mcpServers": {
    "playwright": {
      "command": "npx",
      "args": [
        "@playwright/mcp@PINNED_VERSION",
        "--isolated",
        "--allowed-origins",
        "https://staging.example.com"
      ]
    }
  }
}

प्रॉम्प्ट कॉपी करें

PINNED_VERSION को उस रिलीज़ से बदलें जिसे आपने सच में जाँचा हो।

Browser MCP और लॉग-इन सेशन

"Browser MCP" असल में सर्वरों का एक परिवार है: Google का Chrome DevTools MCP, वे extension bridges जो आपके रोज़ के Chrome को चलाते हैं, और Anthropic का अपना Chrome extension। इनमें एक गुण समान है। ये उस ब्राउज़र के भीतर की चीज़ें देख और बदल सकते हैं जिसे आप सच में इस्तेमाल करते हैं।

Chrome DevTools MCP के README में यह सीधे लिखा है: सर्वर "MCP क्लाइंट्स को ब्राउज़र इंस्टेंस की सामग्री उपलब्ध कराता है, ताकि वे ब्राउज़र या DevTools के किसी भी डेटा का निरीक्षण, डीबग और संशोधन कर सकें।" इसमें यह भी नोट है कि Google डिफ़ॉल्ट रूप से उपयोग के आँकड़े इकट्ठा करता है, जैसे टूल की सफलता दर, लेटेंसी और एनवायरनमेंट का विवरण। आप इसे --no-usage-statistics या CHROME_DEVTOOLS_MCP_NO_USAGE_STATISTICS एनवायरनमेंट वेरिएबल से बंद कर सकते हैं।

असली प्रोफ़ाइल बनाम थ्रोअवे प्रोफ़ाइल

नियम सरल है: Claude को केवल वही अकाउंट देखने चाहिए जिन्हें खोने का आप जोखिम उठा सकते हों।

वेब पेजों से prompt injection

छिपा हुआ टेक्स्ट सबसे आम हमला है। कोई पेज white-on-white पैराग्राफ़, एक ऐसा फ़ॉर्म फ़ील्ड जो आपको दिखता नहीं, या टैब के शीर्षक या URL में छिपे निर्देश रख सकता है। मॉडल इन सबको बाकी कंटेंट की तरह ही पढ़ता है।

ज़रा श्रृंखला सोचें। आप Claude से दो लैपटॉप रिव्यू की तुलना करने को कहते हैं। एक पेज में अदृश्य टेक्स्ट है जो असिस्टेंट को आपका webmail टैब खोलकर नवीनतम संदेश फ़ॉरवर्ड करने को कहता है। अगर ब्राउज़र में लाइव ईमेल सेशन है और सर्वर उसे कोई भी साइट खोलने देता है, तो बचा एकमात्र अवरोध मॉडल का विवेक है।

Anthropic ने अगस्त 2025 में अपने Chrome extension के research preview के दौरान इसे मापा। 29 हमले के परिदृश्यों में फैले 123 टेस्ट केसों में, सोच-समझकर निशाना बनाए गए हमले बिना safety mitigations के 23.6% समय सफल हुए, और उनके साथ 11.2% समय। इसका मतलब अब भी लगभग हर नौ में से एक हमला है। किसी तीसरे पक्ष के browser सर्वर में ऐसे कोई classifiers नहीं होते, इसलिए मान लें कि मॉडल पेज के निर्देश कभी-कभी मान लेगा।

Blender MCP के जोखिम

Blender MCP (ahujasid/blender-mcp प्रोजेक्ट) Blender के भीतर चलने वाले एक add-on को उस सर्वर से जोड़ता है जिससे Claude बात करता है। इसके बाद Claude एक साधारण वाक्य से सीन बना सकता है, मटीरियल सेट कर सकता है और assets इम्पोर्ट कर सकता है। यह जोखिम ब्राउज़र से अलग है, क्योंकि यहाँ टूल खुद एक Python interpreter है।

कोड चलाना ही फ़ीचर है

execute_blender_code टूल Blender के भीतर वही Python चलाता है जो Claude भेजता है। Blender का Python os और subprocess import कर सकता है, फ़ाइलें पढ़ और लिख सकता है, और नेटवर्क कनेक्शन खोल सकता है। README की चेतावनी छोटी है: यह टूल "allows running arbitrary Python code in Blender, which can be powerful but potentially dangerous" करता है, और आपको इसे इस्तेमाल करने से पहले हमेशा अपना काम सेव कर लेना चाहिए।

CVE एंट्री CVE-2026-10688 को 4 जून 2026 को SentinelOne के vulnerability database में ठीक इसी टूल के खिलाफ सूचीबद्ध किया गया था: कोई sanitizing नहीं, कोई sandboxing नहीं, और एंट्री के समय कोई आधिकारिक पैच नहीं। इसे आश्चर्य नहीं, डिज़ाइन का विवरण समझें। टूल वही करता है जो वह कहता है, इसलिए सुरक्षा आपको ही देनी होगी।

बिना लॉगिन वाला सॉकेट

Add-on सर्वर से एक TCP socket के ज़रिए बात करता है, जिसका डिफ़ॉल्ट पोर्ट 9876 है। README बताता है कि इस socket में कोई authentication या encryption नहीं है और इसे localhost पर ही रखना चाहिए, रिमोट उपयोग के लिए SSH tunnel के साथ। लेकिन केवल localhost का मतलब भी यह है कि आपके अकाउंट के अंतर्गत चल रहा हर दूसरा प्रोसेस कनेक्ट होकर कमांड भेज सकता है।

तीसरे पक्ष की asset सेवाएँ

Add-on Poly Haven, Sketchfab, Poly Pizza और Hunyuan3D, Tripo और Hyper3D Rodin जैसे AI 3D जनरेटर से जुड़ता है। इनमें से हरेक को अपने credentials चाहिए या वह आपके प्रॉम्प्ट प्राप्त करता है। डिफ़ॉल्ट रूप से यह प्रोजेक्ट न्यूनतम गुमनाम usage डेटा इकट्ठा करता है: install ID, session ID, टूल के नाम, सफलता और समय, वर्ज़न और ऑपरेटिंग सिस्टम। प्रॉम्प्ट, जनरेट किया गया कोड और स्क्रीनशॉट केवल तभी भेजे जाते हैं जब आप opt in करें। DISABLE_TELEMETRY=true सेट करने से यह सब बंद हो जाता है।

डाउनलोड की गई .blend फ़ाइलों में भी scripts हो सकती हैं। Blender की Auto Run Python Scripts preference डिफ़ॉल्ट रूप से बंद आती है, इसलिए उसे ऐसे ही रखें।

एक नज़र में जोखिम रैंकिंग

सीधे शब्दों में: Blender MCP की सीमा सबसे ऊँची है, क्योंकि कोड आपके विशेषाधिकारों के साथ चलता है। असली प्रोफ़ाइल पर Browser MCP सबसे ज़्यादा संभावना से नुकसान करता है, क्योंकि जो सेशन वह खोलता है वे कीमती हैं और वेब शत्रुतापूर्ण टेक्स्ट से भरा है। --isolated के साथ Playwright तीनों में सबसे आसानी से नीरस बनाया जा सकता है।

एक सुरक्षित सेटअप, चरण दर चरण

Claude Code में अनुमतियाँ

Claude Code इंटरैक्टिव सेशन में .mcp.json फ़ाइल से प्रोजेक्ट सर्वर इस्तेमाल करने से पहले मंज़ूरी माँगता है, जो आपको किसी अनजान repository को clone करते समय बचाता है। नॉन-इंटरैक्टिव रन (claude -p या Agent SDK) में वे सर्वर बिना प्रॉम्प्ट के लोड हो जाते हैं। इसे disabledMcpjsonServers से रोकें, --setting-sources से प्रोजेक्ट सेटिंग्स बाहर रखें, या --strict-mcp-config से शुरू करें ताकि केवल वही सर्वर इस्तेमाल हों जिन्हें आप स्पष्ट रूप से पास करें।

अलग-अलग टूल mcp__<server>__<tool> जैसे नियमों से नियंत्रित होते हैं:

{
  "permissions": {
    "deny": ["mcp__blender__execute_blender_code"],
    "ask": ["mcp__playwright__browser_click"]
  }
}

प्रॉम्प्ट कॉपी करें

mcp__ के बाद के नाम वही हैं जो आपने अपने कॉन्फ़िग में सर्वरों को दिए हैं। execute_blender_code को deny करने से Blender MCP का बहुत सा काम हट जाता है, इसलिए इसे केवल एक डिस्पोज़ेबल मशीन पर allow करें जहाँ आपका काम सेव हो।

कंटेनर और थ्रोअवे प्रोफ़ाइल

सीमित रखना सतर्कता से बेहतर है। Playwright को Docker में चलाएँ। Blender को virtual machine में चलाएँ, या किसी अलग कम-विशेषाधिकार वाले user के अंतर्गत जो आपके home folder को पढ़ न सके। हर सर्वर को उसके अपने सीमित, अल्पकालिक टोकन दें, और जिस सर्वर को आपने नहीं लिखा उसके environment में कभी लंबे समय वाला admin credential न रखें। वर्ज़न पिन करें, फिर हर अपडेट के बाद टूल सूची दोबारा पढ़ें ताकि rug pulls पकड़े जा सकें।

मंज़ूरी से पहले समीक्षा

Claude Desktop और Claude Code, दोनों आपको किसी टूल को एक बार या हमेशा के लिए मंज़ूरी देने देते हैं। इस चुनाव के आसपास बेहतर आदतें बनाएँ:

• केवल टूल का नाम नहीं, कॉल पढ़ें। किसी अनजान डोमेन को खोलने का अनुरोध रुकने लायक है।
• "Always allow" को स्थायी अनुमति मानें। हर महीने अपनी अनुमतियाँ दोबारा जाँचें।
• सेशन अलग रखें। जो browsing सर्वर है उसे उसी सेशन में न चलाएँ जिसमें ऐसा सर्वर चले जो secrets पढ़ता हो या ईमेल भेजता हो।
• अचानक होने वाली बातों पर नज़र रखें। अगर कोई एजेंट अचानक प्रोजेक्ट के बाहर की फ़ाइल चाहता है, तो उसे रोककर देखना चाहिए।

PicassoIA पर Claude Sonnet 5 इस्तेमाल करें

आप PicassoIA पर Claude Sonnet 5 के साथ अपने सेटअप का ऑडिट कर सकते हैं। यह बहु-चरणीय कामों पर तर्क करता है और इमेज पढ़ता है, इसलिए यह कॉन्फ़िग फ़ाइल या अनुमति डायलॉग के स्क्रीनशॉट को बराबर अच्छी तरह संभालता है।

1. पहले secrets हटाएँ। अपने MCP कॉन्फ़िग में हर token को REDACTED से बदलें।
2. मॉडल खोलें और कॉन्फ़िग को Prompt में पेस्ट करें, साथ में एक सीधा सवाल, जैसे: "यहाँ के हर सर्वर के बारे में सूची बनाएँ कि वह फ़ाइलें कैसे पढ़ सकता है, डेटा बाहर कैसे भेज सकता है या कोड कैसे चला सकता है। नुकसान के हिसाब से रैंक करें।"
3. effort को high पर सेट करें। डिफ़ॉल्ट low thinking बंद कर देता है, जो तेज़ है पर सतही। कई आपस में जुड़े चरणों वाली समीक्षा के लिए high या max ठीक रहता है।
4. System Prompt जोड़ें, जैसे "आप एक सतर्क सुरक्षा समीक्षक हैं। हर उस चीज़ को चिह्नित करें जो व्यापक अनुमतियाँ देती है।"
5. Max Tokens को 8192 पर रखें, जो डिफ़ॉल्ट है, ताकि लंबे निष्कर्ष बीच में न कटें।
6. अगर आप जानना चाहते हैं कि किसी अनुमति डायलॉग के शब्द यह छिपाते हैं या नहीं कि कॉल असल में क्या करती है, तो उसका स्क्रीनशॉट अटैच करें, उसे Image फ़ील्ड में डालें और दूसरी राय लें।
7. जवाब की तुलना ऊपर की चेकलिस्ट से करें, फिर जिस सर्वर को उसने चिह्नित किया उसके बारे में अनुवर्ती सवाल पूछें।

💡 मॉडल केवल वही देखता है जो आप पेस्ट करते हैं। वह आपकी मशीन की जाँच नहीं कर सकता, इसलिए कॉन्फ़िग के बाहर की कोई भी बात उससे छूट सकती है। इसे दूसरे पाठक की तरह इस्तेमाल करें, अंतिम मंज़ूरी की तरह नहीं।

अगर आप टेक्स्ट मॉडरेट करने वाली pipeline चलाते हैं, तो Llama Guard 4 12B कंटेंट को unsafe श्रेणियों के खिलाफ जाँचता है। यह एक मॉडरेशन मॉडल है, sandbox नहीं, इसलिए इसे कभी अपना एकमात्र बचाव न बनाएँ।

Picasso IA पर अपनी इमेज बनाएँ

इस लेख की इमेज केवल टेक्स्ट प्रॉम्प्ट से बनीं, बिना किसी 3D ऐप और बिना किसी MCP सर्वर के बीच में आए। अगर आप Blender में काम करते हैं, तो किसी एजेंट को लाइव प्रोजेक्ट फ़ाइल छूने से पहले सीन की योजना बनाने के लिए पहले रेफ़रेंस इमेज बनाना एक सुरक्षित तरीका है।

फ़ोटोरियलिस्टिक सीन के लिए Seedream 5 Pro या GPT Image 2 आज़माएँ, फिर नतीजों की साथ-साथ तुलना करें। एक साफ़ सब्जेक्ट, रोशनी की दिशा और एक लेंस के साथ प्रॉम्प्ट लिखें, उसे कुछ बार चलाएँ, और देखें कि कौन-सा मॉडल आपकी शैली में बैठता है। आप हर उपलब्ध मॉडल picassoia.com/en/all-models पर देख सकते हैं। कोई एक चुनें और आज ही Picasso IA पर अपनी इमेज के साथ प्रयोग शुरू करें।