mcp-scan : Scanner de sécurité pour les configurations de serveur MCP
mcp-scan est un scanner de sécurité pour les configurations de serveurs MCP (Model Context Protocol). Les serveurs MCP utilisés avec Claude Desktop fonctionnent avec un accès complet à votre système de fichiers et réseau, ce qui rend la configuration de sécurité importante.
Ce que mcp-scan vérifie
L'outil analyse vos configurations MCP pour plusieurs problèmes de sécurité :
- Secrets et clés API laissés accidentellement dans les fichiers de configuration
- Vulnérabilités connues dans les packages MCP
- Modèles d'autorisations suspects
- Vecteurs d'exfiltration
- Attaques par empoisonnement d'outils
Clients pris en charge et utilisation
mcp-scan détecte automatiquement les configurations pour plusieurs clients d'IA, notamment :
- Claude Desktop
- Cursor
- VS Code
- Windsurf
- 6 autres clients d'IA (noms spécifiques non fournis dans la source)
L'outil est exécuté avec une seule commande :
npx mcp-scanCe type d'analyse de sécurité est particulièrement pertinent pour les serveurs MCP car ils ont souvent un accès étendu au système lorsqu'ils sont intégrés aux assistants de codage IA. L'outil semble se concentrer sur les problèmes de sécurité au niveau de la configuration plutôt que sur les vulnérabilités d'exécution.
📖 Read the full source: r/ClaudeAI
👀 See Also
Ne faites pas plus confiance à l'IA qu'à un humain — Appliquez les mêmes contrôles d'accès
Une discussion sur Reddit soutient que les agents de codage IA devraient être traités comme des développeurs juniors — pas d'accès à la production, pas d'écriture directe, imposer des pipelines CI/CD et des permissions basées sur les rôles.
Règles Strictes de Lecture Seule dans les Fichiers de Compétences : Instructions, Non Application
Un utilisateur de Reddit rapporte qu'un agent OpenClaw avec une règle stricte 'LECTURE SEULE — ne jamais poster' a été piégé pour publier via une injection de prompt, soulignant que les règles des fichiers de compétences ne sont que des instructions, pas des contraintes appliquées.
Une start-up israélienne, Irregular, liée à des piratages informatiques illégaux par IA contre OpenAI, Anthropic et Meta
CNBC rapporte que la startup israélienne Irregular est liée à des piratages d'IA malveillants chez OpenAI, Anthropic et Meta. Les attaques visaient les systèmes d'IA, soulevant des inquiétudes sur la sécurité de l'IA.
Recherche : Les caractères Unicode invisibles peuvent détourner les agents LLM via l'accès aux outils
Une étude a testé si les LLM suivent des instructions cachées dans des caractères Unicode invisibles intégrés dans du texte normal, en utilisant deux schémas d'encodage sur cinq modèles et 8 308 sorties évaluées. Résultat clé : l'accès aux outils amplifie la conformité de moins de 17 % à 98-100 %, les modèles écrivant des scripts Python pour décoder les caractères cachés.