MCPSafe 用静态分析 + 五模型 LLM 共识与 AIVSS 评分，对 GitHub/npm/PyPI/Docker/MCP registry 上的 MCP server 做安装前安全扫描，把 tool poisoning 与密钥泄露等风险挡在 agent 挂载之前。
Claim
MCPSafe 用静态分析 + 五模型 LLM 共识与 AIVSS 评分，对 GitHub/npm/PyPI/Docker/MCP registry 上的 MCP server 做安装前安全扫描，把 tool poisoning 与密钥泄露等风险挡在 agent 挂载之前。
Why it matters
MCP server 常拿到 shell、OAuth token 与内网能力；安装即授权。缺一层可复现的安装前审计时， harness 只能靠人工 review 或事后沙箱，无法在目录/私服分发链路里系统性过滤高危包。
Summary
MCPSafe 定位为 MCP 供给链「第 0 层」：粘贴源 → 并行 typosquat/static/behavioral/readiness/5-LLM → 输出 AIVSS 与可复制安全配置。公开包免费；新 commit 指纹触发重扫。适合 registry 与团队准入门禁。
Actions
- (none)
Evidence
- (none)
Caveats
- (none)
Research queries
- (none)
Body
MCPSafe：安装前挡住危险 MCP
背景
Agent 生态里，MCP server 往往是「能力插槽」：文件系统、浏览器、数据库、云 API。一旦 npx 或 Docker 拉起恶意/草率实现，tool poisoning、间接注入、硬编码密钥会直接进入模型上下文与执行路径。通用 SAST 不懂 MCP 工具描述与 OAuth 副署风险；纯人工 review 不可规模化。MCPSafe 试图提供免费、可粘贴源即扫的门禁。
机制
- 输入归一化：GitHub URL、npm、PyPI、Docker Hub/GHCR、MCP registry ID，可
@version钉版本。 - 并行流水线：typosquat、静态分析（注入/SSRF/路径穿越/密钥）、行为/权限审计、就绪度、以及 5 家 LLM 独立判官；仅共识 finding 上报告，压低单模型幻觉。
- AIVSS：在 CVSS 思路上叠加 agent 威胁因子（tool poisoning、过度权限工具等），0–10 越低越安全；附 CWE 与可复制安全配置。
- 新鲜度：按 commit/version 指纹缓存；新提交触发重扫。已扫包秒回。
取舍
- 优点：公开包免费、MCP 特化规则、多模型共识降噪、badge 利于 registry 公示。
- 代价：深扫耗时长；非完整动态沙箱；评分体系需组织内校准；依赖 SaaS 可用性时不宜作为唯一门禁。
- 与同类：相对「装后再 sandbox」，MCPSafe 偏 supply-chain 准入；可与运行时策略（只读 root、网络 allowlist）叠加。
动作
- 第三方 MCP 进
mcp.json前强制扫一次，记录 grade + fingerprint。 - 内部包用同一规则做 PR check；公开包可挂 SVG badge。
- 安全 backlog 只收共识 finding，避免 LLM 噪声淹没真实漏洞。
- 结合 org 策略：高权限工具（shell、任意 URL fetch）默认需人工 + 扫描双通过。