Verb Authority sjekker hvem som fikk fylle inn hvert argument i et verktøykall

Agenten din leser en nettside. Et sted i teksten står en e-postadresse, formulert som om den hører hjemme i mottakerfeltet. Deretter kaller agenten send_email(to, body), og skjemaet sier at begge feltene er strenger. Formen stemmer. Ingenting i skjemaet sier at to skulle kommet fra en autentisert sesjon, og at bare body var modellens å skrive.

Det er hullet Verb Authority går etter. Prosjektet, som ligger på GitHub under Apache-2.0, skanner eksporterte verktøyskjemaer og produserer et autoritetskart per argument: hvem har lov til å forfatte denne verdien. Skanneren tar imot tools/list-svar fra MCP, OpenAI sine function-tools og Anthropic sine verktøydefinisjoner, den starter aldri MCP-serveren, kaller aldri et verktøy og laster ikke opp skjemaene dine.

Standardvalgene er strenge: mottakere, URL-er, kontoer, filstier og kommandoer havner som trusted_fixed, mens fritekst kan være outbound_payload. Tvetydige argumenter på konsekvenstunge verktøy forblir låst og krever gjennomgang. Kjøretidsdelen, GuardedToolRunner, kaller gaten umiddelbart før den registrerte funksjonen. I demoen blokkeres ett kall fordi to er en låst sink, og et annet fordi body er 2001 tegn mot en registrert maxLength på 2000.

«Dette er fortsatt tidlig arbeid på forskningsnivå og beskrives ikke som produksjonsklart.» — prosjektets egen README

Grensene er dokumentert like nøkternt. Gaten klassifiserer ikke prompter og stopper ikke enhver effekt av prompt-injeksjon: utrygt innhold kan fortsatt påvirke om et verktøy i det hele tatt kalles, eller hvilket element i en allerede betrodd katalog som velges. Utgivelsen 0.10.0b14 er første distribusjon på PyPI, kjernen er avhengighetsfri og støtter Python 3.10 til 3.14, men en adapter for JavaScript eller TypeScript i kjøretid finnes ikke ennå.

Hva bør du gjøre?

1. Eksporter tools/list-svaret MCP-klienten din allerede mottar, og kjør verb_authority scan på det. Rapporten er lesbar uten at du integrerer noe.
2. Gå gjennom hvilke destinasjonsargumenter i dine egne verktøy modellen i dag kan fylle fritt. Den listen har verdi selv om du dropper kjøretidsgaten.