Repolode
Enviar
apisec-inc

apisec-inc/mcp-audit

Analisa configurações de ferramentas de desenvolvimento com IA (Claude Desktop, Cursor, VS Code) e o código-fonte de servidores MCP em busca de segredos expostos, endpoints de API, modelos de IA e riscos de injeção de comandos no shell.

Ver no GitHubSite
Estrelas
166
Forks
45
Issues abertas
6
Último commit
há 3 meses

O que é?

O MCP Audit inventaria os servidores do Model Context Protocol configurados em ferramentas de desenvolvimento com IA, como Claude Desktop, Cursor, VS Code, Windsurf e Zed. A ferramenta informa os segredos armazenados nessas configurações, os endpoints de API que cada agente pode acessar, os modelos de IA em uso e sinalizações de risco, como acesso ao shell ou ao sistema de arquivos. Os resultados podem ser exportados como arquivos JSON, CSV, Markdown, SARIF ou CycloneDX 1.6 AI-BOM para registros de conformidade e da cadeia de suprimentos.

Um comando separado de análise do código-fonte lê o código de servidores MCP que importam um MCP SDK e sinaliza casos em que argumentos de ferramentas controlados por LLM são passados para chamadas que iniciam processos no shell, como child_process.exec, subprocess.run(shell=True), os.system ou os.popen. A ferramenta oferece saída em formato de tabela, JSON e SARIF, além da opção --exit-code para fazer builds de CI falharem quando há achados críticos.

A ferramenta é executada localmente pela linha de comando e também oferece um app web baseado em navegador para analisar repositórios do GitHub. Ela inspeciona apenas arquivos de configuração e o código-fonte de servidores MCP; portanto, não cobre segredos de ambientes de execução nem de gerenciadores externos de segredos.

Recursos principais

  • 01Encontra configurações de MCP no Claude Desktop, Cursor, VS Code, Windsurf e Zed.
  • 02Detecta mais de 25 padrões de segredos e oferece recomendações de correção específicas para cada provedor.
  • 03Inventaria endpoints de API e modelos de IA referenciados por servidores MCP.
  • 04Exporta relatórios CycloneDX 1.6 AI-BOM, SARIF, JSON, CSV e Markdown.
  • 05Analisa o código-fonte de servidores MCP em busca de pontos de injeção de comandos no shell alimentados por argumentos de ferramentas.
  • 06Oferece a opção --exit-code para fazer builds de CI falharem quando há achados críticos.

Casos de uso

  • Verificar quais servidores MCP e segredos os desenvolvedores configuraram em seus laptops.
  • Impedir o merge de pull requests que adicionem servidores MCP internos com riscos de injeção de comandos no shell.
  • Gerar uma lista de materiais de IA para análises da cadeia de suprimentos ou de conformidade.
  • Enviar achados em SARIF para o GitHub code scanning em repositórios de servidores MCP.

Início rápido

  1. 1

    Clone o repositório

    git clone https://github.com/apisec-inc/mcp-audit.git
  2. 2

    Acesse o diretório do projeto e instale com pip

    cd mcp-audit && pip install -e .
  3. 3

    Procure configurações de MCP na sua máquina

    mcp-audit scan

Antes de usar

  • Requer Python 3.9 ou posterior.
  • A CLI local analisa apenas arquivos de configuração, portanto não detecta segredos em variáveis de ambiente de execução nem em gerenciadores de segredos.

Em coleções

Servidores MCP

Tópicos

#agent-security#mcp#ai-security#secrets-detection#sbom#devsecops#supply-chain-security#ai#ai-bom#api-inventory

Perguntas frequentes

O que é mcp-audit?
Analisa configurações de ferramentas de desenvolvimento com IA (Claude Desktop, Cursor, VS Code) e o código-fonte de servidores MCP em busca de segredos expostos, endpoints de API, modelos de IA e riscos de injeção de comandos no shell. O MCP Audit inventaria os servidores do Model Context Protocol configurados em ferramentas de desenvolvimento com IA, como Claude Desktop, Cursor, VS Code, Windsurf e Zed. A ferramenta informa os segredos armazenados nessas configurações, os endpoints de API que cada agente pode acessar, os modelos de IA em uso e sinalizações de risco, como acesso ao shell ou ao sistema de arquivos. Os resultados podem ser exportados como arquivos JSON, CSV, Markdown, SARIF ou CycloneDX 1.6 AI-BOM para registros de conformidade e da cadeia de suprimentos.
mcp-audit é gratuito? Qual é a licença?
mcp-audit é open source sob a licença MIT. Confira os termos da licença antes de usá-lo em produtos comerciais.
mcp-audit ainda é mantido?
Atualizado nos últimos 6 meses. O último commit de mcp-audit foi em 18 de ago. de 2026.
Para que posso usar mcp-audit?
Verificar quais servidores MCP e segredos os desenvolvedores configuraram em seus laptops. Impedir o merge de pull requests que adicionem servidores MCP internos com riscos de injeção de comandos no shell. Gerar uma lista de materiais de IA para análises da cadeia de suprimentos ou de conformidade. Enviar achados em SARIF para o GitHub code scanning em repositórios de servidores MCP.
Como instalar mcp-audit?
Clone o repositório: git clone https://github.com/apisec-inc/mcp-audit.git Acesse o diretório do projeto e instale com pip: cd mcp-audit && pip install -e . Procure configurações de MCP na sua máquina: mcp-audit scan
Onde consigo mcp-audit?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/apisec-inc/mcp-audit

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados