Les appels d'outils MCP constituent un nouveau vecteur de fuite de données. D'ici 2026, les équipes de sécurité exigeront des contrôles DLP sur chaque appel d'outil : nettoyage des requêtes sortantes, masquage des motifs sensibles dans les réponses et limitation de l'accès aux outils par agent. Ce tutoriel applique le DLP au Scavio MCP.
Prérequis
- Claude Code dernière version
- Une clé API Scavio
- Node.js 20+
- Une liste de règles DLP
Parcours
Étape 1: Forkez le Scavio MCP
Enveloppez le MCP amont avec un middleware DLP.
Bash
git clone https://github.com/scavio/scavio-mcp scavio-mcp-dlp
cd scavio-mcp-dlp && npm installÉtape 2: Nettoyez les requêtes sortantes
Bloquez les requêtes contenant des secrets ou des PII.
JavaScript
const DLP_PATTERNS = [
/\b\d{3}-\d{2}-\d{4}\b/, // SSN
/sk_live_[A-Za-z0-9]+/, // API keys
/\b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\b/ // emails
];
function scrub(query) {
for (const p of DLP_PATTERNS) if (p.test(query)) throw new Error('DLP block');
return query;
}Étape 3: Masquez les réponses
Supprimez les motifs correspondants des résultats de recherche avant de les retourner.
JavaScript
function redact(text) {
for (const p of DLP_PATTERNS) text = text.replace(p, '[REDACTED]');
return text;
}Étape 4: Proxy vers Scavio
Transférez la requête nettoyée, masquez la réponse.
JavaScript
export async function search({ query }) {
scrub(query);
const r = await fetch('https://api.scavio.dev/api/v1/search', {
method: 'POST',
headers: { 'x-api-key': process.env.SCAVIO_API_KEY, 'Content-Type': 'application/json' },
body: JSON.stringify({ query })
});
const d = await r.json();
d.organic_results = d.organic_results.map(r => ({ ...r, snippet: redact(r.snippet || '') }));
return d;
}Étape 5: Portée par agent
Autorisez les agents à accéder à certaines plateformes Scavio.
JavaScript
const SCOPE = { 'agent-sdr': ['search', 'reddit'], 'agent-legal': ['search'] };
function enforce(agentId, platform) {
if (!SCOPE[agentId]?.includes(platform)) throw new Error('scope');
}Exemple Python
Python
import os, re, requests
API_KEY = os.environ['SCAVIO_API_KEY']
DLP = [re.compile(r'\d{3}-\d{2}-\d{4}'), re.compile(r'sk_live_[A-Za-z0-9]+')]
def safe_search(query):
for p in DLP:
if p.search(query): raise ValueError('DLP block')
r = requests.post('https://api.scavio.dev/api/v1/search',
headers={'x-api-key': API_KEY}, json={'query': query})
d = r.json()
for res in d.get('organic_results', []):
for p in DLP: res['snippet'] = p.sub('[REDACTED]', res.get('snippet', ''))
return d
print(safe_search('best serp api 2026'))Exemple JavaScript
JavaScript
const API_KEY = process.env.SCAVIO_API_KEY;
const DLP = [/\d{3}-\d{2}-\d{4}/, /sk_live_[A-Za-z0-9]+/];
export async function safeSearch(query) {
if (DLP.some(p => p.test(query))) throw new Error('DLP block');
const r = await fetch('https://api.scavio.dev/api/v1/search', {
method: 'POST',
headers: { 'x-api-key': API_KEY, 'Content-Type': 'application/json' },
body: JSON.stringify({ query })
});
const d = await r.json();
d.organic_results = (d.organic_results || []).map(x => ({ ...x, snippet: DLP.reduce((s, p) => s.replace(p, '[REDACTED]'), x.snippet || '') }));
return d;
}Sortie attendue
JSON
Queries with PII/secrets blocked before hitting Scavio. Results with matching patterns redacted. Audit log shows per-agent scope enforcement.