agent-scan

扫一遍 Agent 和 MCP 配置，提前揪出权限与注入风险

开源 🏷️完全免费 🔧 仅开源项目，无在线服务，需自行部署评测安全 🍴 复刻 295 🐛 待处理 28 👀 关注 12

GitHub ↗

GitHub 星标 ★ 3197

维护状态活跃

是否开源开源

定价模式 🏷️完全免费开源免费工具，无在线服务

项目预览

项目数据

分类评测安全

开发团队snyk

GitHubhttps://github.com/snyk/agent-scan

定价模式🏷️完全免费

价格说明开源免费工具，无在线服务

访问状态🔧 仅开源项目，无在线服务，需自行部署

是否开源是

开源协议Apache-2.0

主要语言Python

技术栈/模型agent,ai,mcp,modelcontextprotocol,security

GitHub 星标★ 3197

上线时间2025-04-07 00:00:00

代码更新2026-11-02

仓库体积5.6 MB

本站数据更新2026-11-03

维护状态活跃

收录时间2026-09-12

浏览次数2

项目介绍

agent-scan 是一款面向 AI Agent 生态的安全扫描器，主要针对 AI 智能体、MCP（Model Context Protocol）服务器以及 Agent 技能（skills）进行安全检测。随着 Agent 应用大量接入外部工具、文件和网络资源，提示注入、恶意工具描述、越权访问、敏感数据泄露等风险显著上升，而传统 SAST/DAST 工具并不理解 Agent 与 MCP 的交互语义。agent-scan 通过解析 Agent 配置、MCP 服务端声明与技能定义，识别危险权限、可疑工具行为、不安全的数据流和配置缺陷，并给出可读的扫描报告。它适合在开发、CI 和上线前阶段作为一道自动化安全闸门，帮助团队在引入第三方 MCP 或技能时快速评估风险，降低 Agent 被滥用或数据外泄的概率。

Star 增长趋势

本站每日记录该项目 GitHub 星标变化，观测越久曲线越完整

数据来源：GitHub API 逐日快照 · 收录于 2026-09-12 · 当前星标 ★ 3197

技术标签

agent ai mcp modelcontextprotocol security

使用教程

难度：入门约 10 分钟部署方式：命令行工具 7 步

环境要求

已安装 uv（Python 包运行器，见 https://docs.astral.sh/uv/getting-started/installation/）
已注册 Snyk 账号，并从 https://app.snyk.io/account 获取 API Token
已设置 SNYK_TOKEN 环境变量
本地存在待扫描的 MCP 配置文件（如 ~/.vscode/mcp.json）

安装与启动步骤

1获取 Snyk Token

注册 Snyk 账号后进入账号页面，在 API Token → KEY 处点击显示并复制 Token。
2设置环境变量

运行任何扫描前必须先设置 SNYK_TOKEN，否则扫描无法进行。
```
export SNYK_TOKEN=your-api-token-here
```
3安装 uv

uvx 方式依赖 uv，请按其官方文档在系统上完成 uv 安装。
4用 uvx 扫描 MCP

通过 uvx 运行 snyk-agent-scan，参数为要扫描的 MCP 配置文件路径。
```
uvx snyk-agent-scan@latest ~/.vscode/mcp.json
```
5锁定版本运行

如需可复现结果，可改用固定版本 0.5.17 代替 latest。
```
uvx snyk-agent-scan@0.5.17 ~/.vscode/mcp.json
```
6使用独立二进制

也可从 GitHub Releases 下载对应系统的二进制运行，发布页含 SBOM 与校验和。
7源码方式运行

在仓库源码目录下安装为可编辑包，再以模块方式运行 CLI。
```
uv run pip install -e .
uv run -m src.agent_scan.cli
```