graygnatconsole/mcp-audit-tool
针对 AI Agent 工具链的配置安全扫描器：检查 MCP server 配置和工具定义里是否存在工具投毒、配置被悄悄替换（rug pull）、硬编码密钥、命令注入与供应链风险，并输出 SARIF 报告接入 CI。适合给团队 AI 工具链做上线前安全检查的开发者。
这个项目是什么
扫描 MCP 配置与工具定义、发现安全风险的命令行工具。
能用来做什么
- 在 CI 中扫描 MCP 配置，拦截高危改动
- 引入第三方 MCP server 前评估供应链风险
- 排查配置文件中写死的 API Key 与密钥
- 生成 SARIF 报告接入代码扫描平台
- 审计本地 AI 编辑器里的 MCP 设置
上手条件
普通人
有条件可用
图形界面
没有图形界面
部署
需要自己部署
API Key
不需要
成本：MIT 开源免费；主要成本是自建 CI 的运行时间与人工投入，材料未提及云服务或模型调用费用。
能接入：以 CLI 形式接入 CI/CD 流水线，输出 SARIF 供代码扫描平台消费，也可作为 pre-commit 或脚本步骤调用；材料未说明官方 MCP 或 n8n 集成。
软件开发：CI 流水线加入 MCP 配置安全门禁软件开发：上架前审查第三方 MCP server办公：审查团队 AI 助手的密钥泄露风险
商业方向与限制
可以怎么变现：面向使用 AI Agent 的团队做 MCP 配置安全审计：交付扫描报告、CI 集成配置和高危项修复建议，可按项目或按次收费。
限制：MIT 许可证；未取到 README，检测项的实际覆盖度只能依据仓库描述，无法核实；仓库创建仅数周，415 Star 对 5 Fork，真实采用度待观察；纯 CLI，需命令行与 CI 基础。
MCP 安全供应链扫描CLI 工具CI 集成AI Agent
Star 历史
13 个快照2026-10-182026-10-20
页面上的中文判断由模型基于仓库信息与 README 生成，会标注不确定性；Star 与许可证等事实来自 GitHub 官方 API。发现分析有误可以在后台重新分析该仓库。