Repolode
Предложить
apisec-inc

apisec-inc/mcp-audit

Сканирует конфигурации AI-инструментов разработки (Claude Desktop, Cursor, VS Code) и исходный код MCP-серверов на предмет утечек секретов, API-эндпоинтов, AI-моделей и рисков shell-инъекций.

Открыть на GitHubСайт
Звёзды
166
Форки
45
Открытые issues
6
Последний коммит
3 месяца назад

Что это?

MCP Audit собирает сведения о серверах Model Context Protocol, настроенных в AI-инструментах разработки, таких как Claude Desktop, Cursor, VS Code, Windsurf и Zed. Он показывает секреты, сохранённые в этих конфигурациях, API-эндпоинты, к которым может обращаться каждый агент, используемые AI-модели и потенциальные риски, например доступ к shell или файловой системе. Результаты можно экспортировать в JSON, CSV, Markdown, SARIF или AI-BOM-файлы CycloneDX 1.6 для проверок соответствия требованиям и учёта компонентов цепочки поставок.

Отдельная команда для сканирования исходного кода анализирует код MCP-серверов, импортирующих MCP SDK, и выявляет случаи, когда аргументы инструментов под управлением LLM передаются в вызовы, запускающие shell, например child_process.exec, subprocess.run(shell=True), os.system или os.popen. Поддерживаются вывод в формате таблицы, JSON и SARIF, а также флаг --exit-code для завершения сборок CI с ошибкой при обнаружении критичных проблем.

Инструмент запускается локально из командной строки; для сканирования GitHub-репозиториев также доступно веб-приложение в браузере. Он проверяет только файлы конфигурации и исходный код MCP-серверов, поэтому не обнаруживает секреты из сред выполнения или внешних менеджеров секретов.

Ключевые возможности

  • 01Находит конфигурации MCP в Claude Desktop, Cursor, VS Code, Windsurf и Zed.
  • 02Обнаруживает более 25 шаблонов секретов и даёт рекомендации по устранению проблем с учётом провайдера.
  • 03Собирает сведения об API-эндпоинтах и AI-моделях, на которые ссылаются MCP-серверы.
  • 04Экспортирует отчёты AI-BOM в формате CycloneDX 1.6, а также в SARIF, JSON, CSV и Markdown.
  • 05Сканирует исходный код MCP-серверов и находит уязвимые для shell-инъекций вызовы, в которые передаются аргументы инструментов.
  • 06Предоставляет параметр --exit-code для завершения сборок CI с ошибкой при обнаружении критичных проблем.

Сценарии использования

  • Проверка того, какие MCP-серверы и секреты разработчики настроили на своих ноутбуках.
  • Блокировка pull request, добавляющих внутренние MCP-серверы с риском shell-инъекций.
  • Подготовка перечня компонентов AI-системы для проверок цепочки поставок или соответствия требованиям.
  • Загрузка результатов SARIF в GitHub code scanning для репозиториев MCP-серверов.

Быстрый старт

  1. 1

    Клонируйте репозиторий

    git clone https://github.com/apisec-inc/mcp-audit.git
  2. 2

    Перейдите в каталог проекта и установите пакет с помощью pip

    cd mcp-audit && pip install -e .
  3. 3

    Просканируйте конфигурации MCP на своей машине

    mcp-audit scan

Что важно знать

  • Требуется Python версии 3.9 или выше.
  • Локальная CLI сканирует только файлы конфигурации, поэтому секреты в переменных окружения во время выполнения и в менеджерах секретов не обнаруживаются.

В подборках

MCP-серверы

Темы

#agent-security#mcp#ai-security#secrets-detection#sbom#devsecops#supply-chain-security#ai#ai-bom#api-inventory

Частые вопросы

Что такое mcp-audit?
Сканирует конфигурации AI-инструментов разработки (Claude Desktop, Cursor, VS Code) и исходный код MCP-серверов на предмет утечек секретов, API-эндпоинтов, AI-моделей и рисков shell-инъекций. MCP Audit собирает сведения о серверах Model Context Protocol, настроенных в AI-инструментах разработки, таких как Claude Desktop, Cursor, VS Code, Windsurf и Zed. Он показывает секреты, сохранённые в этих конфигурациях, API-эндпоинты, к которым может обращаться каждый агент, используемые AI-модели и потенциальные риски, например доступ к shell или файловой системе. Результаты можно экспортировать в JSON, CSV, Markdown, SARIF или AI-BOM-файлы CycloneDX 1.6 для проверок соответствия требованиям и учёта компонентов цепочки поставок.
mcp-audit можно использовать бесплатно? Какая у него лицензия?
mcp-audit распространяется с открытым исходным кодом под лицензией MIT. Перед использованием в коммерческих продуктах проверьте условия лицензии.
mcp-audit всё ещё поддерживается?
Обновлялся за последние 6 месяцев. Последний коммит в mcp-audit — 18 авг. 2026 г..
Для чего можно использовать mcp-audit?
Проверка того, какие MCP-серверы и секреты разработчики настроили на своих ноутбуках. Блокировка pull request, добавляющих внутренние MCP-серверы с риском shell-инъекций. Подготовка перечня компонентов AI-системы для проверок цепочки поставок или соответствия требованиям. Загрузка результатов SARIF в GitHub code scanning для репозиториев MCP-серверов.
Как установить mcp-audit?
Клонируйте репозиторий: git clone https://github.com/apisec-inc/mcp-audit.git Перейдите в каталог проекта и установите пакет с помощью pip: cd mcp-audit && pip install -e . Просканируйте конфигурации MCP на своей машине: mcp-audit scan
Где скачать mcp-audit?
Исходный код и инструкции по установке — на GitHub: https://github.com/apisec-inc/mcp-audit

Описание создано ИИ на основе README проекта. Статистика GitHub обновляется ежедневно.

Похожие проекты

guardana / guardana

CLI и библиотека с открытым исходным кодом для проверки файлов моделей ИИ, кода, работающих конечных точек LLM/агентов/MCP и записанных трасс агентов с отчетом о проблемах и пробелах в проверках.

Безопасность#ai-security#llm-security#red-teaming
20317PythonApache-2.0Обновлён 22 часа назад

NVIDIA / SkillSpector

Сканер безопасности для проверки навыков AI-агентов (Claude Code, Codex, MCP) на prompt injection, утечку данных и риски цепочки поставок перед установкой.

Безопасность#agent-security#ai-security#prompt-injection
24,6 тыс.+1,1 тыс. за неделю2,1 тыс.PythonApache-2.0Активно поддерживаетсяОбновлён вчера