@agentscore-xyz/mcp-server

MCP-Sicherheitsebene. Pakete scannen, Vertrauensurteile erhalten, repository-weite MCP-Abhängigkeiten prüfen, Policy-Gate-Setup generieren, CI-Workflow direkt installieren, Gefährdung durch Vorfälle prüfen und die Missbrauchsdatenbank abfragen. Acht Tools für MCP-Sicherheitsentscheidungen. Kein API-Schlüssel, null Konfiguration.

Scannen Sie jedes MCP-Paket auf Sicherheitsprobleme: agentscores.xyz

Schnellstart

Claude Desktop

Fügen Sie dies zu Ihrer claude_desktop_config.json hinzu:

{
  "mcpServers": {
    "agentscore": {
      "command": "npx",
      "args": ["-y", "@agentscore-xyz/mcp-server"]
    }
  }
}

Cursor / Beliebiger MCP-Client

npx @agentscore-xyz/mcp-server

Related MCP server: DepScope

Was dies bewirkt

Ihre KI kann nun Sicherheitsentscheidungen über MCP-Pakete treffen:

Sie: "Ist exa-mcp-server sicher zu installieren?"

Claude: ruft get_verdict auf "Urteil: ERLAUBT. Score 90/100, NIEDRIGES Risiko. Keine Herkunftsnachweise (veröffentlicht durch persönliches Konto). 9 Tools freigegeben, einschließlich web_search_exa und crawling_exa."

Sie: "Das axios-Paket wurde kompromittiert. Welche MCP-Server sind betroffen?"

Claude: ruft check_exposure auf "Mehrere überwachte MCP-Server hängen von axios ab, darunter exa-mcp-server, tavily-mcp und figma-mcp."

Sie: "Scanne @azure-devops/mcp auf Sicherheitsprobleme"

Claude: ruft scan_package auf "Score 75/100, MÄSSIGES Risiko. Gefunden: preinstall-Skript, das die npm-Registry-Konfiguration ändert. Keine Herkunftsnachweise."

Sie: "Überprüfe dieses Repository auf MCP-Abhängigkeiten"

Claude: ruft check_my_repo auf "MCP-Abhängigkeiten gefunden: 5. Zwei sind Warnungen. Führen Sie generate_policy_gate_setup aus, um diese Prüfungen in ein CI-Gate umzuwandeln."

Sie: "Richte das AgentScore Policy Gate für dieses Repository ein"

Claude: ruft install_policy_gate auf "Die Workflow-Datei wird in .github/workflows/agentscore-policy-gate.yml geschrieben. Committen und pushen Sie. GitHub OIDC wird das Repository beim ersten Ausführen automatisch bereitstellen."

Verfügbare Tools

Von Ad-Hoc-Scans zur CI-Durchsetzung

Der MCP-Server überbrückt nun einmalige Paketprüfungen hin zum dauerhaften Produkt:

1. Führen Sie check_my_repo aus, um jedes in einem Repository verwendete MCP-Paket zu sehen.

2. Führen Sie generate_policy_gate_setup aus, um eine Vorschau des OIDC-basierten GitHub Actions-Workflows zu erhalten.

3. Führen Sie install_policy_gate aus, um die Workflow-Datei direkt in das Repository zu schreiben.

4. Committen und pushen Sie. Der erste Lauf erfolgt automatisch über GitHub OIDC.

Das macht aus "Ist dieses Paket sicher?" ein "Dieses Repository erzwingt nun die MCP-Abhängigkeitsrichtlinie bei jedem PR."

Risikostufen

Was der Scanner prüft

• Installationsskripte (postinstall/preinstall-Hooks mit Netzwerkaufrufen oder Codeausführung)

• Prompt-Injection-Muster in Paket-Metadaten

• Verdächtige URLs (fragwürdige TLDs, ngrok, rohe IPs)

• Quellcode-Muster (Befehlsinjektion, unsicheres eval, hartcodierte Geheimnisse)

• Herkunft des Publishers (vertrauenswürdiges Publishing, Nachweise)

• Anzahl der Abhängigkeiten und Vollständigkeit der Metadaten

• MCP-Tool-Definitionen, die aus dem veröffentlichten Quellcode extrahiert wurden

Überwachung

AgentScore überwacht kontinuierlich Hunderte von MCP-Paketen. Die Tools check_exposure und monitor_status nutzen diesen Live-Datensatz. Wenn ein Paket wie axios kompromittiert wird, können Sie sofort feststellen, welche MCP-Server betroffen sind.

Links

• Website: agentscores.xyz

• API-Dokumentation: agentscores.xyz/docs

• Methodik: agentscores.xyz/methodology

Lizenz

MIT