Repolode
Enviar
apisec-inc

apisec-inc/mcp-audit

Analiza las configuraciones de herramientas de desarrollo con IA (Claude Desktop, Cursor, VS Code) y el código fuente de servidores MCP para detectar secretos expuestos, endpoints de API, modelos de IA y riesgos de inyección de comandos.

Ver en GitHubSitio web
Estrellas
166
Forks
45
Issues abiertos
6
Último commit
hace 3 meses

¿Qué es?

MCP Audit inventaría los servidores de Model Context Protocol configurados en herramientas de desarrollo con IA como Claude Desktop, Cursor, VS Code, Windsurf y Zed. Informa de los secretos guardados en esas configuraciones, los endpoints de API a los que puede acceder cada agente, los modelos de IA en uso y señales de riesgo, como el acceso al shell o al sistema de archivos. Los hallazgos se pueden exportar como archivos JSON, CSV, Markdown, SARIF o CycloneDX 1.6 AI-BOM para documentación de cumplimiento y de la cadena de suministro.

Un comando independiente de análisis del código fuente examina el código de servidores MCP que importan un SDK de MCP y señala los casos en que argumentos de herramientas controlados por un LLM llegan a llamadas que crean procesos de shell, como child_process.exec, subprocess.run(shell=True), os.system u os.popen. Admite resultados en formato de tabla, JSON y SARIF, así como la opción --exit-code para hacer fallar las compilaciones de CI si se detectan hallazgos críticos.

La herramienta se ejecuta localmente desde la línea de comandos e incluye una aplicación web basada en navegador para analizar repositorios de GitHub. Solo inspecciona archivos de configuración y código fuente de servidores MCP, por lo que no detecta secretos de entornos de ejecución ni de gestores de secretos externos.

Funciones clave

  • 01Detecta configuraciones de MCP en Claude Desktop, Cursor, VS Code, Windsurf y Zed.
  • 02Detecta más de 25 patrones de secretos y ofrece recomendaciones de corrección específicas para cada proveedor.
  • 03Inventaría los endpoints de API y los modelos de IA a los que hacen referencia los servidores MCP.
  • 04Exporta informes CycloneDX 1.6 AI-BOM, SARIF, JSON, CSV y Markdown.
  • 05Analiza el código fuente de servidores MCP para detectar puntos de inyección de comandos alimentados por argumentos de herramientas.
  • 06Incluye la opción --exit-code para hacer fallar las compilaciones de CI si se detectan hallazgos críticos.

Casos de uso

  • Comprobar qué servidores MCP y secretos tienen configurados los desarrolladores en sus laptops.
  • Bloquear pull requests que incorporen servidores MCP internos con riesgos de inyección de comandos.
  • Generar una lista de materiales de IA para revisiones de la cadena de suministro o de cumplimiento.
  • Subir hallazgos en formato SARIF a GitHub code scanning para repositorios de servidores MCP.

Inicio rápido

  1. 1

    Clona el repositorio

    git clone https://github.com/apisec-inc/mcp-audit.git
  2. 2

    Entra en el directorio del proyecto e instala con pip

    cd mcp-audit && pip install -e .
  3. 3

    Busca configuraciones de MCP en tu equipo

    mcp-audit scan

Antes de usarlo

  • Requiere Python 3.9 o posterior.
  • La CLI local solo analiza archivos de configuración, por lo que no detecta secretos en variables de entorno de ejecución ni en gestores de secretos.

En colecciones

Servidores MCP

Temas

#agent-security#mcp#ai-security#secrets-detection#sbom#devsecops#supply-chain-security#ai#ai-bom#api-inventory

Preguntas frecuentes

¿Qué es mcp-audit?
Analiza las configuraciones de herramientas de desarrollo con IA (Claude Desktop, Cursor, VS Code) y el código fuente de servidores MCP para detectar secretos expuestos, endpoints de API, modelos de IA y riesgos de inyección de comandos. MCP Audit inventaría los servidores de Model Context Protocol configurados en herramientas de desarrollo con IA como Claude Desktop, Cursor, VS Code, Windsurf y Zed. Informa de los secretos guardados en esas configuraciones, los endpoints de API a los que puede acceder cada agente, los modelos de IA en uso y señales de riesgo, como el acceso al shell o al sistema de archivos. Los hallazgos se pueden exportar como archivos JSON, CSV, Markdown, SARIF o CycloneDX 1.6 AI-BOM para documentación de cumplimiento y de la cadena de suministro.
¿mcp-audit es gratuito? ¿Qué licencia tiene?
mcp-audit es open source bajo la licencia MIT. Revisa los términos de la licencia antes de usarlo en productos comerciales.
¿mcp-audit sigue mantenido?
Actualizado en los últimos 6 meses. El último commit de mcp-audit fue el 18 ago 2026.
¿Para qué puedo usar mcp-audit?
Comprobar qué servidores MCP y secretos tienen configurados los desarrolladores en sus laptops. Bloquear pull requests que incorporen servidores MCP internos con riesgos de inyección de comandos. Generar una lista de materiales de IA para revisiones de la cadena de suministro o de cumplimiento. Subir hallazgos en formato SARIF a GitHub code scanning para repositorios de servidores MCP.
¿Cómo se instala mcp-audit?
Clona el repositorio: git clone https://github.com/apisec-inc/mcp-audit.git Entra en el directorio del proyecto e instala con pip: cd mcp-audit && pip install -e . Busca configuraciones de MCP en tu equipo: mcp-audit scan
¿Dónde consigo mcp-audit?
El código fuente y las instrucciones de instalación están en GitHub: https://github.com/apisec-inc/mcp-audit

Resumen generado por IA a partir del README del proyecto. Las estadísticas de GitHub se actualizan a diario.

Proyectos relacionados