Un servidor MCP malicioso no se anuncia en el README. Se esconde tras imports ofuscados, rutas de import() calculadas, y funciones de limpieza que borran tu carpeta .ssh sin hacer ruido. Sentinel es el motor que no parpadea: 10 capas estáticas sobre el código, luego un sandbox L2 que realmente ejecuta el servidor bajo gVisor y graba cada syscall durante 30 segundos.
Del repo al veredicto, sin que un humano confíe en nada.
Dos replays de formas reales de auditoría: un bot de facturas limpio, y una tool de PDF cuyo cleanup() quería más que basura. Las capas se encienden en orden de ejecución; el reporte imprime lo que el auditor recibiría.
No un checklist inventado por nosotros — el de la industria. Las filas vivas están despachadas hoy; las fechadas están en el roadmap público.
| owasp recommendation | sentinel implementation | status |
|---|---|---|
| Isolate tool execution | gVisor sandbox, syscall-level trace | live |
| Scan for prompt injection | L1.9 — 32 rules | live |
| Verify tool descriptions haven't changed | Cryptographic fingerprinting (SHA-256 + JCS) | live |
| Monitor runtime behavior | Behavioral baseline + drift detection | v5.2 · 2027-Q1 |
| Implement least privilege | Capability graph + org policies (→ Interceptor) | v5.3 · 2027-Q2 |
| Implement revocation | ATC revocation + transparency log (→ FILE 02) | v5.1 · 2026-Q4 |