Agent Security Audit Kit：35 项控制点的 AI Agent 安全审计工具包
alvelda · x · 2026-11-05
Agent Field Kit 作者分享了一套开源的 AI Agent 端到端安全审计工具包，并指出一个常见 MCP 安全漏洞：通过 HTTP + OAuth 运行 MCP server 时，仅验证 token 有效不够，还需检查 token 的 audience claim 是否签发给你的 server，否则同一身份提供商为其他应用签发的 token 也能通过验证。
工具包内容包括：
- 5 阶段审计方法论，35 项控制点，映射到 OWASP Top 10 for LLM Applications 2026 与 NIST AI RMF
- 证据模板与登记表、审计报告模板、评分脚本 scoreaudit.py
- 只读的 MCP 配置扫描器 scanmcpconfig.py，只读文件且不打印密钥
- 2026 年 10 月下旬的网络威胁情报更新，附可打印 PDF 版
仅需 Python 3.9+ 无需安装依赖，脚本自带 selftest 可验证，适合直接对真实 MCP client 配置做安全体检。
所属事件:MCP over HTTP 存在 OAuth audience 校验漏洞(2 条相关)→
「编程与Agent」频道最新
- Revolut 自托管 GLM 替代 Claude,编码推理成本降约 90% — sebkrier · 2026-11-05
- 博主4天VibeCoding出3D钓鱼游戏,全流程拆解玩法建模到宣传片 — lxfater · 2026-11-05
- Sentry 创始人实测 AI agent junior：最难编码任务也全接住 — zeeg · 2026-11-05
- Every 长文复盘 Codex 崛起：从失败发布到吞并 ChatGPT 的翻身之作 — danshipper · 2026-11-05
- 腾讯混元 Hy4 接入 OpenClaw:1M 上下文 + 长程 Agent 能力 — TencentHunyuan · 2026-11-05
- 开发者用 Claude Code 复刻 Awwwards 级网站：Blender 建模+Playwright 自检 — randomname11111_ · 2026-11-05