Kostenloses Tool

MCP Security Scanner

Bevor Sie einen Agenten auf einen MCP-Server richten, sehen Sie, worum er bittet. Bewertet von A bis F zu Transport, Authentifizierung, Tool-Poisoning-Merkmalen und gefährlichen Parametern.

Prüfen Sie einen eigenen Server oder einen, dessen Anbindung Sie erwägen. Zum Beispiel https://mcp.example.com/mcp
Dieser Server benötigt eine Authentifizierung
Wird nur für diese eine Anfrage verwendet und nie gespeichert.

Sie haben den Server geprüft. Wer prüft die Demo?

Wer einen MCP-Server veröffentlicht, wird von Interessenten genau so geprüft, bevor sie ihm vertrauen. MCP Showcase gibt ihnen ein Live-Playground und Dokumentation pro Tool, sodass offensichtlich ist, was Ihr Server tut — statt etwas, das sie erst auditieren müssen.

So funktioniert es

link
Server-URL einfügen

Ihren eigenen oder einen, den Sie bewerten. Nichts wird installiert und kein Tool wird jemals aufgerufen.

play_circle
Wir lesen, was er bereitstellt

Ein Handshake, dann werden alle Tool-Beschreibungen und Input-Schemas gegen bekannte MCP-Angriffsmuster geprüft.

checklist
Bewerteten Bericht erhalten

Eine Note von A bis F, jeder Befund nach Schweregrad sortiert samt Handlungsempfehlung, dazu die Liste der bestandenen Prüfungen.

Was dieser MCP Security Scanner prüft

Füge oben eine Model-Context-Protocol-URL ein: Der Scanner führt genau einen MCP-Handshake aus, liest alles, was der Server bereitstellt, und bewertet ihn von A bis F. Es wird nie ein Tool aufgerufen. Der gesamte Bericht entsteht aus dem, was der Server im selben Austausch preisgibt, den jeder MCP-Client beim Verbinden durchführt.

Tool Poisoning: warum Beschreibungen eine Angriffsfläche sind

Die Beschreibung eines Tools ist keine Dokumentation für Menschen. Sie wird dem Modell wörtlich übergeben und als Anweisung gelesen. Damit ist sie ein Einfallstor: Text wie „ignoriere vorherige Anweisungen", „sag es dem Nutzer nicht" oder die Aufforderung, ~/.ssh zu lesen, lässt sich dort platzieren — und der Agent handelt danach, ohne dass die Person den Text je zu Gesicht bekommt. Diese Angriffsklasse heißt Tool Poisoning und ist MCP-spezifisch: klassische Anwendungssicherheits-Scanner erfassen sie nicht.

Der Scanner prüft jeden Tool-Namen, jede Beschreibung und jede Schema-Beschreibung gegen die Muster dieses Angriffs und nennt das Tool, in dem er fündig wurde.

Der Rest des Berichts

  • Transport — ein Endpunkt über einfaches HTTP legt jede Anfrage offen, einschließlich des Bearer-Tokens, das ein Agent sendet. Allein das begrenzt die Note.
  • Authentifizierung — ob sich die vollständige Tool-Liste ganz ohne Zugangsdaten auflisten lässt. Bei einem wirklich öffentlichen, nur lesenden Server in Ordnung; kritisch, wenn die Tools Daten schreiben, Geld ausgeben oder interne Systeme erreichen.
  • Gefährliche Parameter — Tools, die einen freien command, einen rohen sql-String oder einen unbeschränkten path annehmen. Jeder davon ist ein Weg von „der Agent wurde überredet" zu „auf dem Host lief etwas".
  • Destruktive Operationen — MCP kennt keine eingebaute Bestätigung; ob ein Mensch ein Löschen freigibt, entscheidet allein der Client.
  • Schema-Hygiene — Tools ohne deklarierte Properties akzeptieren, was das Modell erfindet, und Tools ohne brauchbare Beschreibung werden auf Verdacht aufgerufen.

Was die Note A bedeutet — und was nicht

Sie bedeutet, dass von außen nichts sichtbar falsch ist. Da nie ein Tool aufgerufen wird, kann der Scanner nicht sagen, ob ein Tool seine Eingaben validiert, Berechtigungen durchsetzt oder nach dem Aufruf tatsächlich das tut, was seine Beschreibung behauptet. Nimm die Note als günstigen ersten Durchgang, der die MCP-typischen Fehler früh findet — nicht als Audit und nicht als etwas, das man als solches veröffentlicht. Genau deshalb stehen die Grenzen auf jedem Ergebnis.

Verwandte Tools und Anleitungen

Wer einen MCP-Server veröffentlicht, wird geprüft

Wer deinen Server bewertet, lässt so etwas laufen, bevor er einen Agenten damit verbindet — und eine Wand aus JSON-Schemas gibt ihm keinen Grund, dir zu vertrauen. MCP Showcase macht aus demselben Endpunkt ein Live-Playground mit Dokumentation pro Tool: Was dein Server tut, ist auf einen Blick klar, statt etwas, das ein Interessent erst rekonstruieren muss.

Häufig gestellte Fragen

Eine Tool-Beschreibung wird dem Modell wörtlich übergeben und daher als Anweisung gelesen. Tool Poisoning bezeichnet die Technik, Anweisungen in dieser Beschreibung zu verstecken — „ignoriere vorherige Anweisungen", „sag es dem Nutzer nicht" oder die Aufforderung, ~/.ssh zu lesen — sodass der Agent danach handelt, ohne dass der Nutzer den Text je sieht. Dieser Scanner meldet Beschreibungen mit solcher Sprache.

Vier Dinge, die der Server von außen preisgibt: ob der Transport verschlüsselt ist, ob die Tool-Liste ohne Authentifizierung einsehbar ist, ob eine Tool-Beschreibung anweisungsartigen Text enthält, und ob ein Tool einen gefährlichen Parameter annimmt — etwa einen freien Shell-Befehl, einen SQL-String oder einen unbeschränkten Dateipfad.

Nein, und der Bericht sagt das direkt am Ergebnis. Es wird nie ein Tool aufgerufen, daher kann der Scanner nicht sagen, ob ein Tool seine Eingaben validiert oder was es nach dem Aufruf tut. Ein A bedeutet: von außen ist nichts sichtbar falsch — es ist kein Audit und sollte nicht als solches dargestellt werden.

Ja. Die Prüfung macht genau das, was jeder MCP-Client beim Verbinden tut — einen Handshake und einen tools/list-Aufruf — und ruft nie ein Tool auf. Das ist derselbe Verkehr, den der Server ohnehin von jedem Agenten akzeptiert, der ihn nutzt.

Bei einem wirklich öffentlichen, nur lesenden Server kann das in Ordnung sein — deshalb wird es gemeldet und nicht als Fehler gewertet. Wenn die Tools jedoch Daten schreiben, Geld ausgeben oder interne Systeme erreichen, kann jeder, der die URL findet, sie auflisten und aufrufen.

Weitere kostenlose MCP-Tools