开源安全扫描工具：MCP-Scan,专为 MCP 服务器安全扫描设计

它能自动检测 MCP 服务器中常见的安全漏洞，如提示词注入、工具中毒和跨域提权攻击等，确保 AI 工具的安全使用。

GitHub：http://github.com/invariantlabs-ai/mcp-scan

主要特性：

• 支持扫描 Claude、Cursor、Windsurf 等多种基于文件的 MCP 客户端配置
• 使用 Invariant Guardrails 检测工具描述中的提示词注入攻击
• 发现跨域提权攻击（工具覆盖攻击）的安全隐患
• 通过”工具固定”功能，利用哈希检测防止 MCP 拉取攻击
• 提供命令行工具查看已安装 MCP 工具的详细描述信息

如何使用：

MCP-Scan 搜索您的配置文件以查找 MCP 服务器配置。它连接到这些服务器并检索工具描述。
然后，它通过本地检查和通过 API 调用 Invariant Guardrailing 来扫描工具描述。为此，工具名称和描述将与 invariantlabs.ai 共享。使用 MCP-Scan，即表示您同意 invariantlabs.ai 使用条款和隐私政策。
Invariant Labs 出于安全研究目的收集数据（仅关于工具描述及其随时间的变化，而不是您的用户数据）。如果您不想共享您的工具，请不要使用 MCP-scan。
MCP-scan 不会存储或记录任何使用数据，即 MCP 工具调用的内容和结果。

使用简单，只需运行一条命令，即可开始扫描，并支持多种参数自定义扫描行为。