Repolode
提交项目
apisec-inc

apisec-inc/mcp-audit

扫描 Claude Desktop、Cursor 等 AI 开发工具的 MCP 配置与服务端源码，查找泄露的密钥、API 端点和风险。

在 GitHub 查看官网
Star
166
Fork
45
未关闭 Issue
6
最近提交
3个月前

这是什么？

MCP Audit 用于盘点 Claude Desktop、Cursor、VS Code、Windsurf、Zed 等 AI 开发工具中配置的 MCP 服务，列出配置文件里暴露的密钥、各个 agent 可访问的 API 端点、正在使用的 AI 模型，以及 shell、文件系统访问等风险标记。扫描结果可导出为 JSON、CSV、Markdown、SARIF 或 CycloneDX 1.6 格式的 AI-BOM，便于合规与供应链记录。

独立的 source-scan 命令会读取引入 MCP SDK 的服务端源码，检测由 LLM 控制的工具参数被传入 child_process.exec、subprocess.run(shell=True)、os.system、os.popen 等 shell 调用的情况。它支持表格、JSON 和 SARIF 输出，并可通过 --exit-code 在发现严重问题时让 CI 失败。

工具可在本地命令行运行，也提供浏览器端 Web 应用用于扫描 GitHub 仓库。它只检查配置文件和 MCP 服务源码，无法覆盖运行时环境变量或外部密钥管理服务中的密钥。

核心功能

  • 01自动发现 Claude Desktop、Cursor、VS Code、Windsurf、Zed 中的 MCP 配置。
  • 02检测 25 种以上密钥格式，并给出针对各服务商的修复建议。
  • 03盘点 MCP 服务涉及的 API 端点和 AI 模型。
  • 04可导出 CycloneDX 1.6 AI-BOM、SARIF、JSON、CSV 和 Markdown 报告。
  • 05扫描 MCP 服务源码中由工具参数触发的 shell 注入风险。
  • 06支持 --exit-code 参数，在发现严重问题时使 CI 构建失败。

适用场景

  • 检查开发者笔记本上配置的 MCP 服务和其中可能泄露的密钥。
  • 在自研 MCP 服务的 PR 中拦截存在 shell 注入风险的代码。
  • 为供应链或合规审查生成 AI 物料清单（AI-BOM）。
  • 将 MCP 服务仓库的扫描结果上传到 GitHub code scanning。

快速上手

  1. 1

    克隆代码仓库

    git clone https://github.com/apisec-inc/mcp-audit.git
  2. 2

    进入项目目录并用 pip 安装

    cd mcp-audit && pip install -e .
  3. 3

    扫描本机的 MCP 配置

    mcp-audit scan

使用前须知

  • 需要 Python 3.9 或更新版本。
  • 本地 CLI 仅扫描配置文件，无法检测运行时环境变量或密钥管理器中的密钥。

收录于专题

MCP Server 精选

标签

#agent-security#mcp#ai-security#secrets-detection#sbom#devsecops#supply-chain-security#ai#ai-bom#api-inventory

常见问题

mcp-audit 是什么？
扫描 Claude Desktop、Cursor 等 AI 开发工具的 MCP 配置与服务端源码，查找泄露的密钥、API 端点和风险。 MCP Audit 用于盘点 Claude Desktop、Cursor、VS Code、Windsurf、Zed 等 AI 开发工具中配置的 MCP 服务，列出配置文件里暴露的密钥、各个 agent 可访问的 API 端点、正在使用的 AI 模型，以及 shell、文件系统访问等风险标记。扫描结果可导出为 JSON、CSV、Markdown、SARIF 或 CycloneDX 1.6 格式的 AI-BOM，便于合规与供应链记录。
mcp-audit 可以免费使用吗？用的什么许可证？
mcp-audit 以 MIT 许可证开源。用于商业产品前，请先确认许可证条款。
mcp-audit 还在维护吗？
半年内有更新。mcp-audit 最近一次提交是在 2026年8月18日。
mcp-audit 适合用来做什么？
检查开发者笔记本上配置的 MCP 服务和其中可能泄露的密钥。 在自研 MCP 服务的 PR 中拦截存在 shell 注入风险的代码。 为供应链或合规审查生成 AI 物料清单（AI-BOM）。 将 MCP 服务仓库的扫描结果上传到 GitHub code scanning。
mcp-audit 怎么安装和运行？
克隆代码仓库: git clone https://github.com/apisec-inc/mcp-audit.git 进入项目目录并用 pip 安装: cd mcp-audit && pip install -e . 扫描本机的 MCP 配置: mcp-audit scan
在哪里获取 mcp-audit？
源代码和安装说明在 GitHub 上：https://github.com/apisec-inc/mcp-audit

概要由 AI 根据项目 README 生成；GitHub 数据每日更新。

相关项目