apisec-inc/mcp-audit

これは何？

主な機能

• 01Claude Desktop、Cursor、VS Code、Windsurf、ZedのMCP設定を検出します。
• 0225種類以上のシークレットパターンを検出し、プロバイダーに応じた修正方法を提示します。
• 03MCPサーバーが参照するAPIエンドポイントとAIモデルを一覧化します。
• 04CycloneDX 1.6 AI-BOM、SARIF、JSON、CSV、Markdown形式のレポートをエクスポートします。
• 05ツール引数を受け取るシェルインジェクションの実行先を、MCPサーバーのソースコードからスキャンします。
• 06重大な検出結果がある場合にCIビルドを失敗させる--exit-codeオプションを提供します。

ユースケース

• 開発者のノートPCに設定されているMCPサーバーとシークレットを確認する。
• シェルインジェクションのリスクがある社内MCPサーバーを追加するプルリクエストをブロックする。
• サプライチェーンやコンプライアンスのレビュー向けにAI部品表を作成する。
• SARIF形式の検出結果をGitHub code scanningにアップロードし、MCPサーバーのリポジトリをスキャンする。

クイックスタート

1. 1

   リポジトリをクローンする

   git clone https://github.com/apisec-inc/mcp-audit.git
2. 2

   プロジェクトディレクトリに移動し、pipでインストールする

   cd mcp-audit && pip install -e .
3. 3

   マシン上のMCP設定をスキャンする

   mcp-audit scan

使う前に知っておきたいこと

• !Python 3.9以降が必要です。
• !ローカルCLIは設定ファイルのみをスキャンするため、実行時の環境変数やシークレットマネージャーにあるシークレットは検出されません。

収録されている特集

トピック

よくある質問

mcp-audit とは？

Claude Desktop、Cursor、VS CodeなどのAI開発ツールの設定とMCPサーバーのソースコードをスキャンし、露出したシークレット、APIエンドポイント、AIモデル、コードレベルのシェルインジェクションリスクを検出します。 MCP Auditは、Claude Desktop、Cursor、VS Code、Windsurf、ZedなどのAI開発ツールに設定されたModel Context Protocolサーバーを一覧化します。設定ファイルに保存されたシークレット、各エージェントがアクセスできるAPIエンドポイント、使用中のAIモデルを報告し、シェルやファイルシステムへのアクセスなどのリスクも提示します。検出結果は、コンプライアンスやサプライチェーンの記録向けに、JSON、CSV、Markdown、SARIF、CycloneDX 1.6 AI-BOMファイルとしてエクスポートできます。

mcp-audit は無料で使えますか？ライセンスは？

mcp-audit は MIT ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

mcp-audit は今もメンテナンスされていますか？

半年以内に更新あり。mcp-audit の最終コミットは 2026年8月18日 です。

mcp-audit は何に使えますか？

開発者のノートPCに設定されているMCPサーバーとシークレットを確認する。 シェルインジェクションのリスクがある社内MCPサーバーを追加するプルリクエストをブロックする。 サプライチェーンやコンプライアンスのレビュー向けにAI部品表を作成する。 SARIF形式の検出結果をGitHub code scanningにアップロードし、MCPサーバーのリポジトリをスキャンする。

mcp-audit のインストール方法は？

リポジトリをクローンする: git clone https://github.com/apisec-inc/mcp-audit.git プロジェクトディレクトリに移動し、pipでインストールする: cd mcp-audit && pip install -e . マシン上のMCP設定をスキャンする: mcp-audit scan

mcp-audit はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/apisec-inc/mcp-audit