MCPSec 是一款专为 Model Context Protocol (MCP) 服务器配置文件设计的安全扫描工具，旨在帮助开发者和安全团队识别配置中潜在的安全漏洞。该工具基于开源项目 mcpsec（由 pfederiksen 维护），采用 Go 语言编写，遵循 Apache 2.0 许可证，支持跨平台运行。MCPSec 的核心能力在于对 MCP 配置文件进行自动化审计，覆盖 OWASP 发布的 MCP Top 10 安全风险类别，全面检测提示注入、权限滥用、认证缺失、硬编码密钥等关键安全问题。其使用方式简洁高效：用户可通过 Python 脚本自动发现并扫描常见路径下的 MCP 配置文件，也可指定单个文件进行深度检查。工具输出支持多种格式，包括人类可读的文本、JSON 结构化数据以及静默模式，便于集成到 CI/CD 流程或 SIEM 系统中。值得注意的是，尽管 MCPSec 本身不执行网络请求，但其依赖的二进制文件可能读取本地敏感信息如 API 密钥，因此在使用前建议验证供应链完整性，推荐通过校验 SHA256 哈希值或从源码构建来增强信任度。
核心功能特点
- 全面覆盖 OWASP MCP Top 10 风险类别，包括提示注入、过度权限、硬编码密钥等关键安全问题
- 支持自动发现主流编辑器（Claude Desktop、Cursor、VS Code）和自定义路径中的 MCP 配置文件
- 提供多格式输出（文本/JSON/静默模式），便于与自动化系统或安全仪表板集成
- 严格限制运行时行为——仅读取本地配置文件，无网络调用，保障最小攻击面
- 强调供应链安全，提供官方预编译二进制文件的 SHA256 校验码，并支持源码构建以增强可信度
适用场景
MCPSec 特别适用于需要快速评估 MCP 工具配置安全性的开发者和运维人员。例如，在部署 Claude Desktop 或 Cursor 等 AI 辅助编程工具时，用户往往会在配置文件中嵌入第三方服务 API 密钥，若未妥善管理极易导致凭证泄露。此时使用 MCPSec 可自动扫描 `claude_desktop_config.json` 或 `.cursor/mcp.json` 等文件，精准识别硬编码 secrets（MCP04）或过度授权的工具权限（MCP02），避免因配置疏忽引发数据泄露。对于企业级用户而言，该工具能无缝融入 DevSecOps 流水线，通过命令行参数 `–format json –severity critical,high` 生成标准化报告，供安全团队批量分析；也可设置定时任务（cron job）定期巡检所有终端设备的 MCP 配置状态，实现持续合规监控。此外，在开源贡献场景中，开发者可在合并 Pull Request 前运行 MCPSec 扫描，确保新增的 MCP 工具定义不包含 SSRF 风险（MCP05）或缺乏输入验证（MCP08），从而提升整体生态安全性。