secretscan-mcp-server

diff, 파일 내용, 또는 붙여넣은 스니펫에서 실수로 커밋된 비밀을 스캔하는 MCP 서버입니다. 따라서 MCP 호환 에이전트는 커밋, PR 열기, 또는 로그 발췌문을 어디에 붙여넣기 전에 자신의 변경 사항을 스스로 확인할 수 있습니다. 완전히 로컬에서 동작합니다: API 키가 필요 없고, 네트워크 호출이 없으며, MCP SDK와 Zod 외에는 의존성이 없습니다.

왜

유출된 자격 증명은 계정 및 인프라 침해의 가장 흔한 실제 원인 중 하나이며, 큰 diff에서 저지르기 쉬운 실수 중 하나입니다. 실제 API 키가 포함된 디버그 console.log, 실수로 커밋된 구성 파일, 도움을 요청하면서 채팅에 붙여넣은 .env 등이 그 예입니다. 커밋, 푸시, 또는 텍스트 공유를 앞둔 에이전트는 값싼 검사 방법이 있다면 이런 일이 발생하기 전에 잡아낼 수 있는 좋은 위치에 있습니다.

Related MCP server: opzyai

도구

scan_for_secrets

고정된 공급자 형식 시그니처 집합과 일반적인 엔트로피 기반 휴리스틱을 사용하여 텍스트를 스캔합니다:

발견 결과는 항상 마스킹됩니다 -- AKIAIOSFODNN7EXAMPLE는 AKIA************MPLE (20 chars)로 보고되며, 전체가 표시되지 않습니다. 따라서 도구의 출력은 발견된 내용을 더 전파하지 않고 로그에 기록하거나 표시해도 안전합니다.

이것은 고정 패턴 + 휴리스틱 스캔이며, 완전하지 않습니다. 깨끗한 결과는 '알려진 패턴이 일치하지 않음'을 의미하지 '확실히 안전함'을 의미하지 않습니다. 앱 내 출력에 명시적으로 그렇게 표시됩니다.

설치 및 구성

git clone https://github.com/wedo911/secretscan-mcp-server.git
cd secretscan-mcp-server
npm install
npm run build

MCP 클라이언트 구성에 추가하세요 (예: claude_desktop_config.json, 또는 Claude Code의 프로젝트 .mcp.json):

{
  "mcpServers": {
    "secretscan": {
      "command": "node",
      "args": ["/absolute/path/to/secretscan-mcp-server/dist/index.js"]
    }
  }
}

테스트 실행

npm run build
node --test tests/entropy.test.mjs tests/detectors.test.mjs

24개의 테스트가 있으며, 각 명명된 탐지기에 대한 테스트, 일반 탐지기의 자리 표시자 및 낮은 엔트로피 필터링 동작, 그리고 마스킹된 출력에 전체 비밀 값이 절대 포함되지 않는지에 대한 명시적 확인이 포함됩니다.

클라이언트 없이 사용해 보기

npx @modelcontextprotocol/inspector --cli node dist/index.js \
  --method tools/call --tool-name scan_for_secrets \
  --tool-arg text='aws_access_key_id = AKIAIOSFODNN7EXAMPLE'

(이것은 AWS가 공식 문서에 공개한 예제 키입니다. 실제 자격 증명이 아닙니다.)

라이선스

MIT — LICENSE 참조.