mcp-scan: Сканер безопасности для конфигураций серверов MCP
mcp-scan — это сканер безопасности для конфигураций MCP-серверов (Model Context Protocol). MCP-серверы, используемые с Claude Desktop, работают с полным доступом к вашей файловой системе и сети, что делает безопасность конфигурации важной.
Что проверяет mcp-scan
Инструмент сканирует ваши MCP-конфигурации на наличие нескольких проблем безопасности:
- Секреты и API-ключи, случайно оставленные в конфигурационных файлах
- Известные уязвимости в MCP-пакетах
- Подозрительные шаблоны разрешений
- Векторы эксфильтрации
- Атаки отравления инструментов
Поддерживаемые клиенты и использование
mcp-scan автоматически обнаруживает конфигурации для нескольких AI-клиентов, включая:
- Claude Desktop
- Cursor
- VS Code
- Windsurf
- 6 других AI-клиентов (конкретные названия не указаны в источнике)
Инструмент запускается одной командой:
npx mcp-scanТакой тип сканирования безопасности особенно актуален для MCP-серверов, поскольку они часто имеют широкий доступ к системе при интеграции с AI-ассистентами для программирования. Инструмент, по-видимому, фокусируется на проблемах безопасности на уровне конфигурации, а не на уязвимостях во время выполнения.
📖 Read the full source: r/ClaudeAI
👀 Смотрите также
OpenClaw завершает аудит безопасности с Trail of Bits через Patch the Planet от OpenAI
OpenClaw завершил аудит безопасности с Trail of Bits в рамках инициативы OpenAI Patch the Planet, охватив вопрос о том, что происходит, когда права агента меняются в середине задачи. Все значимые проблемы исправлены в стабильных релизах.
Статический анализ 48 приложений, сгенерированных ИИ: 90% имели уязвимости в безопасности
Разработчик проверил 48 публичных GitHub-репозиториев, созданных с помощью Lovable, Bolt и Replit. 90% из них имели хотя бы одну уязвимость. Распространенные проблемы: пробелы в аутентификации (44%), функции Postgres SECURITY DEFINER (33%), BOLA/IDOR (25%) и закоммиченные секреты (25%).
Открытые инструменты искусственного интеллекта создают угрозы безопасности из-за «иллюзии безопасности через прозрачность».
В посте на Reddit предупреждают о вредоносном ПО, замаскированном под открытые ИИ-агенты и инструменты, где зловредный код может быть скрыт в больших кодовых базах, которые пользователи считают безопасными, потому что они на GitHub. В посте описывается, как «вайб-кодинг» и автономные ИИ-агенты приучают пользователей запускать неизвестные программы без проверки.
Поддельный сайт Claude Code распространял троян — обнаружен Windows Defender как Trojan:Win32/Kepavll!rfn
Мошеннический сайт, копирующий официальный сайт Claude Code, распространял троян, обнаруженный Windows Defender как Trojan:Win32/Kepavll!rfn. Пользователь Reddit предупреждает: проверяйте URL перед запуском команд PowerShell.