开源 CLI 可扫描 MCP 服务器的注入、密钥和危险工具
Technical_Currency_2 · reddit · 2026-07-29
一个开源 CLI 现在可以在你信任 MCP 服务器之前，先扫描命令注入、提交的密钥泄露和危险工具描述等问题。
它检查什么
- 命令注入风险
- 仓库里误提交的 secrets
- 工具描述中的提示注入标记
- 过于宽泛或具破坏性的工具
这个工具既可以扫描 GitHub 仓库，也可以检查 npm/PyPI 包、本地项目或线上 endpoint。默认是确定性扫描；如果需要，还可以打开 --judge 模式，让 LLM 辅助发现规则引擎不容易抓到的问题。开发者还能把它接入 CI/CD，用类似 --min-grade B 的方式卡住合并门槛。
同一套引擎也在驱动一个公开索引，持续扫描官方 MCP registry。
所属事件:开源MCP安全扫描工具可排查注入与密钥泄露(2 条相关)→
「编程与Agent」频道最新
- 「LLM 代码糙」遭反杀:ffmpeg 热门库里就有 if/else 两分支一模一样的代码 — kingslyj · 2026-10-16
- NVIDIA agentic 演示全靠 guardrails,Reddit 作者疾呼:模型外检查不可少 — Creamy-And-Crowded · 2026-10-16
- Vitalik 给 AI Agent 套上 Tor+zkAPI+本地改写，造出「偏执模式」隐私壳 — DavideCrapis · 2026-10-16
- Beam 智能体微调 Qwen3.5-0.8B,工单决策准确率 4.7%→76.3% — ben_burtenshaw · 2026-10-16
- Beam 跑 ProgramBench 实测:单 agent 比五 agent 协作更强 — ben_burtenshaw · 2026-10-16
- Beam+Pi 编码智能体一键生成 macOS 本地听写应用 BeamSpeak — ben_burtenshaw · 2026-10-16