mcp-scan

🚀 MCP - Scan：一个MCP安全扫描工具

MCP - Scan是一款安全扫描工具，旨在检查已安装的MCP服务器是否存在常见安全漏洞，如提示注入、工具中毒和跨域升级等问题，保障服务器安全。

🚀 快速开始

运行MCP - Scan可使用以下命令：

uvx mcp-scan@latest

或

npx mcp-scan@latest

示例运行

点击下方演示图查看示例：

✨ 主要特性

• 扫描Claude、Cursor、Windsurf和其他基于文件的MCP客户端配置。
• 利用防护栅栏扫描提示注入攻击和工具中毒攻击。
• 检测跨域升级攻击（工具阴影）。
• 采用 工具固定 机制检测和防止MCP套用攻击（例如，通过哈希检测MCP工具的变化）。
• 通过inspect命令检查已安装工具的工具描述（例如，uvx mcp-scan@latest inspect）。

🔧 技术细节

MCP - Scan会遍历配置文件以查找MCP服务器配置，接着连接到这些服务器并检索工具描述。它会对工具描述进行本地检查，同时通过调用Invariant Labs的API进行防护栅栏检查。在此过程中，工具名称和描述将与invariantlabs.ai共享。使用MCP - Scan即表示您同意invariantlabs.ai的使用条款和隐私政策。

Invariant Labs收集数据用于安全研究目的（仅关于工具描述及其随时间的变化，不涉及用户数据）。若您不希望分享工具，请不要使用MCP - scan。同时，MCP - scan不会存储或记录任何使用数据，即您调用的MCP工具的内容和结果。

📦 安装指南

要从源代码运行此包，请按照以下步骤操作：

uv run pip install -e .
uv run -m src.mcp_scan.cli

📚 详细文档

将MCP - scan结果纳入您的项目/注册表

如果您希望将MCP - scan的结果纳入您自己的项目或注册表，请通过mcpscan@invariantlabs.ai联系团队，我们会提供相应帮助。

进一步阅读

• 介绍MCP - Scan
• MCP安全通知工具中毒攻击

🤝 贡献

我们欢迎对MCP - Scan的贡献。如果您有任何建议、错误报告或功能请求，请在我们的GitHub仓库上打开问题。