Repolode
제출하기
apisec-inc

apisec-inc/mcp-audit

Claude Desktop, Cursor, VS Code 등의 AI 개발 도구 설정과 MCP 서버 소스 코드를 스캔해 노출된 시크릿, API 엔드포인트, AI 모델, 코드 수준의 셸 인젝션 위험을 찾아냅니다.

GitHub에서 보기웹사이트
스타
166
포크
45
열린 이슈
6
마지막 커밋
3개월 전

어떤 프로젝트인가요?

MCP Audit은 Claude Desktop, Cursor, VS Code, Windsurf, Zed 같은 AI 개발 도구에 설정된 Model Context Protocol 서버를 파악합니다. 설정에 저장된 시크릿, 각 에이전트가 접근할 수 있는 API 엔드포인트, 사용 중인 AI 모델을 보고하고, 셸 또는 파일 시스템 접근과 같은 위험 요소를 표시합니다. 조사 결과는 규정 준수 및 공급망 기록용 JSON, CSV, Markdown, SARIF 또는 CycloneDX 1.6 AI-BOM 파일로 내보낼 수 있습니다.

별도의 소스 스캔 명령은 MCP SDK를 가져오는 MCP 서버의 소스 코드를 읽고, LLM이 제어하는 도구 인수가 child_process.exec, subprocess.run(shell=True), os.system, os.popen 같은 셸 실행 호출로 전달되는 경우를 탐지합니다. 표, JSON, SARIF 형식을 지원하며, 중요한 조사 결과가 있으면 CI 빌드를 실패 처리하는 --exit-code 플래그도 제공합니다.

이 도구는 CLI에서 로컬로 실행할 수 있으며, GitHub 저장소를 스캔하는 브라우저 기반 웹 앱도 제공합니다. 설정 파일과 MCP 서버 소스만 검사하므로 런타임 환경이나 외부 시크릿 관리자에 저장된 시크릿은 다루지 않습니다.

핵심 기능

  • 01Claude Desktop, Cursor, VS Code, Windsurf, Zed의 MCP 설정을 찾아냅니다.
  • 02공급자별 해결 방법과 함께 25가지가 넘는 시크릿 패턴을 탐지합니다.
  • 03MCP 서버에서 참조하는 API 엔드포인트와 AI 모델을 목록화합니다.
  • 04CycloneDX 1.6 AI-BOM, SARIF, JSON, CSV, Markdown 보고서를 내보냅니다.
  • 05도구 인수가 전달되는 셸 인젝션 싱크가 있는지 MCP 서버 소스를 스캔합니다.
  • 06중요한 조사 결과가 있으면 CI 빌드를 실패 처리하는 --exit-code 옵션을 제공합니다.

활용 사례

  • 개발자 노트북에 어떤 MCP 서버와 시크릿이 설정되어 있는지 확인합니다.
  • 셸 인젝션 위험이 있는 사내 MCP 서버가 추가되는 풀 리퀘스트를 차단합니다.
  • 공급망 또는 규정 준수 검토를 위한 AI 자재 명세서를 작성합니다.
  • SARIF 조사 결과를 GitHub code scanning에 업로드해 MCP 서버 저장소를 검사합니다.

빠른 시작

  1. 1

    저장소를 클론합니다

    git clone https://github.com/apisec-inc/mcp-audit.git
  2. 2

    프로젝트 디렉터리로 이동해 pip로 설치합니다

    cd mcp-audit && pip install -e .
  3. 3

    시스템의 MCP 설정을 스캔합니다

    mcp-audit scan

사용 전 알아둘 점

  • Python 3.9 이상이 필요합니다.
  • 로컬 CLI는 설정 파일만 스캔하므로 런타임 환경 변수나 시크릿 관리자에 있는 시크릿은 감지하지 못합니다.

포함된 컬렉션

MCP 서버

토픽

#agent-security#mcp#ai-security#secrets-detection#sbom#devsecops#supply-chain-security#ai#ai-bom#api-inventory

자주 묻는 질문

mcp-audit은(는) 무엇인가요?
Claude Desktop, Cursor, VS Code 등의 AI 개발 도구 설정과 MCP 서버 소스 코드를 스캔해 노출된 시크릿, API 엔드포인트, AI 모델, 코드 수준의 셸 인젝션 위험을 찾아냅니다. MCP Audit은 Claude Desktop, Cursor, VS Code, Windsurf, Zed 같은 AI 개발 도구에 설정된 Model Context Protocol 서버를 파악합니다. 설정에 저장된 시크릿, 각 에이전트가 접근할 수 있는 API 엔드포인트, 사용 중인 AI 모델을 보고하고, 셸 또는 파일 시스템 접근과 같은 위험 요소를 표시합니다. 조사 결과는 규정 준수 및 공급망 기록용 JSON, CSV, Markdown, SARIF 또는 CycloneDX 1.6 AI-BOM 파일로 내보낼 수 있습니다.
mcp-audit은(는) 무료로 사용할 수 있나요? 라이선스는 무엇인가요?
mcp-audit은(는) MIT 라이선스의 오픈소스입니다. 상업용 제품에 사용하기 전에 라이선스 조건을 확인하세요.
mcp-audit은(는) 아직 유지보수되고 있나요?
6개월 이내 업데이트. mcp-audit의 마지막 커밋은 2026년 8월 18일입니다.
mcp-audit은(는) 어디에 사용할 수 있나요?
개발자 노트북에 어떤 MCP 서버와 시크릿이 설정되어 있는지 확인합니다. 셸 인젝션 위험이 있는 사내 MCP 서버가 추가되는 풀 리퀘스트를 차단합니다. 공급망 또는 규정 준수 검토를 위한 AI 자재 명세서를 작성합니다. SARIF 조사 결과를 GitHub code scanning에 업로드해 MCP 서버 저장소를 검사합니다.
mcp-audit는 어떻게 설치하나요?
저장소를 클론합니다: git clone https://github.com/apisec-inc/mcp-audit.git 프로젝트 디렉터리로 이동해 pip로 설치합니다: cd mcp-audit && pip install -e . 시스템의 MCP 설정을 스캔합니다: mcp-audit scan
mcp-audit은(는) 어디서 받을 수 있나요?
소스 코드와 설치 방법은 GitHub에 있습니다: https://github.com/apisec-inc/mcp-audit

요약은 프로젝트 README를 바탕으로 AI가 작성했습니다. GitHub 통계는 매일 갱신됩니다.

관련 프로젝트