mcp-pin 并发竞态导致丢写并误报成功
Understand the story
2026 年 9 月，作者发布 MCP 工具 mcp-pin，它是一个 MCP stdio 代理：在批准时对每个工具的完整元数据（名称、描述、input schema、annotations，按 RFC 8785 规范化后做 SHA-256）生成指纹，之后每次连接重新比对，定义有变化就阻断会话并给出 diff，排队中的调用不会转发。2026-10-06，作者在 DEV Community 复盘了一个并发丢写 bug：同时 pin 100 个服务器时，工具全部报成功，但磁盘上的 pins.json 只留下 12 个 key，88 条审批记录丢失，日志哈希链也断了 5 次。作者将问题归因于并发竞态。同日 Hacker News 上出现了对该工具拦截机制的介绍。
Generated by AI from reports · Updated 7 hours ago
Developments
- Oct 6, 02:45 · 1 reportMCP协议缺乏工具定义变更验证导致的安全隐患Hacker News · MCP：mcp-pin：拦截批准后被修改的 MCP 工具定义
- Oct 6, 01:48 · 1 reportmcp-pin 因并发竞态导致数据丢失并误报成功DEV Community · MCP：mcp-pin 作者复盘：安全工具报成功 100 次却只留下 12 条记录
Report timeline
Follow the reports to explore different perspectives.
- Hacker News · MCPmcp-pin：拦截批准后被修改的 MCP 工具定义
mcp-pin 是一个 MCP stdio 代理，在批准时对每个工具的完整元数据（名称、描述、input schema、annotations，按 RFC 8785 规范化后 SHA-256）做指纹，之后每次连接重新比对，定义有变化就阻断会话并给出 diff，排队中的调用不会转发。
- DEV Community · MCPmcp-pin 作者复盘：安全工具报成功 100 次却只留下 12 条记录
作者为自己 9 月发布的 MCP 工具 mcp-pin 复盘了一个并发丢写 bug：同时 pin 100 个服务器时全部报成功，磁盘上 pins.json 却只有 12 个 key，88 条审批记录丢失，日志哈希链也断了 5 次。
Interest in this story
There isn't enough continuous observation data to show a trend yet.