Ferramenta gratuita

Scanner de segurança MCP

Antes de apontar um agente para um servidor MCP, veja o que ele está pedindo. Nota de A a F em transporte, autenticação, indícios de tool poisoning e parâmetros perigosos.

Analise um servidor seu ou um que esteja considerando conectar. Por exemplo https://mcp.example.com/mcp
Este servidor exige autenticação
Usado apenas nesta requisição e nunca armazenado.

Você verificou o servidor. Quem verifica a demonstração?

Se você publica um servidor MCP, seus clientes em potencial fazem análises como esta antes de confiar em você. O MCP Showcase dá a eles um playground ao vivo e documentação por ferramenta, para que o que o seu servidor faz seja óbvio em vez de algo que precisem auditar.

Como funciona

link
Cole a URL do servidor

O seu, ou um que esteja avaliando. Nada é instalado e nenhuma ferramenta é chamada.

play_circle
Lemos o que ele anuncia

Um handshake e, em seguida, cada descrição de ferramenta e cada esquema de entrada é comparado com padrões de ataque conhecidos em MCP.

checklist
Receba um relatório com nota

Uma nota de A a F, cada achado ordenado por gravidade com o que fazer a respeito, e a lista de verificações aprovadas.

O que este scanner de segurança MCP verifica

Cole acima uma URL de Model Context Protocol e o scanner fará um único handshake MCP, lerá tudo o que o servidor anuncia e atribuirá uma nota de A a F. Nenhuma ferramenta é chamada. Todo o relatório é construído a partir do que o servidor entrega na mesma troca que qualquer cliente MCP faz ao se conectar.

Tool poisoning: por que descrições são uma superfície de ataque

A descrição de uma ferramenta não é documentação para pessoas. Ela é passada ao modelo literalmente e lida como instrução. Isso a torna um ponto de injeção: um texto como «ignore as instruções anteriores», «não conte ao usuário» ou um pedido para ler ~/.ssh pode ser plantado ali e o agente agirá de acordo, sem que a pessoa veja o texto. Essa classe de ataque é chamada de tool poisoning e é específica do MCP: a análise de segurança de aplicações convencional não a cobre.

O scanner compara cada nome de ferramenta, cada descrição e cada descrição dentro do esquema de entrada com os padrões desse ataque, e indica em qual ferramenta os encontrou.

O restante do relatório

  • Transporte — um endpoint servido por HTTP puro expõe todas as requisições, incluindo o token bearer que um agente envia. Só isso já limita a nota.
  • Autenticação — se a lista completa de ferramentas pode ser enumerada sem nenhuma credencial. Aceitável em um servidor genuinamente público e somente de leitura; grave se as ferramentas gravam dados, gastam dinheiro ou alcançam sistemas internos.
  • Parâmetros perigosos — ferramentas que aceitam um command livre, uma string sql crua ou um path sem restrição. Cada um é um caminho de «o agente foi convencido» até «algo rodou no host».
  • Operações destrutivas — o MCP não tem etapa de confirmação embutida, então se uma pessoa aprova uma exclusão depende inteiramente do cliente.
  • Higiene do esquema — ferramentas sem propriedades declaradas aceitam o que o modelo inventar, e ferramentas sem descrição utilizável são chamadas por adivinhação.

O que uma nota A significa — e o que não significa

Significa que nada está visivelmente errado visto de fora. Como nenhuma ferramenta é invocada, o scanner não tem como dizer se ela valida a entrada, se aplica autorização ou se faz o que a descrição promete depois de chamada. Encare a nota como uma primeira passada barata que pega cedo os erros típicos de MCP — não como uma auditoria, e não como algo a publicar como tal. É exatamente por isso que os limites aparecem impressos em cada resultado.

Ferramentas e guias relacionados

Se você publica um servidor MCP, espere ser analisado

Quem avalia o seu servidor vai rodar algo assim antes de conectar um agente, e um muro de esquemas JSON não dá a essa pessoa motivo para confiar em você. O MCP Showcase transforma o mesmo endpoint em um playground ao vivo com documentação por ferramenta, de modo que o que o seu servidor faz fique óbvio à primeira vista em vez de ser algo que um cliente em potencial precise deduzir.

Perguntas frequentes

A descrição de uma ferramenta é entregue ao modelo literalmente, portanto é lida como instrução. Tool poisoning é a técnica de esconder instruções nessa descrição — «ignore as instruções anteriores», «não conte ao usuário» ou um pedido para ler ~/.ssh — de modo que o agente aja sem que o usuário jamais veja o texto. Este scanner sinaliza descrições com esse tipo de linguagem.

Quatro coisas que o servidor revela de fora: se o transporte é criptografado, se a lista de ferramentas fica exposta sem autenticação, se alguma descrição contém texto em forma de instrução, e se alguma ferramenta aceita um parâmetro perigoso como um comando de shell livre, uma string SQL ou um caminho de arquivo sem restrição.

Não, e o relatório diz isso junto ao resultado. Nenhuma ferramenta é chamada, então o scanner não tem como saber se ela valida a entrada nem o que faz depois de invocada. Um A significa que nada está visivelmente errado de fora — não é uma auditoria e não deve ser apresentado como tal.

Sim. A análise faz exatamente o que qualquer cliente MCP faz ao se conectar — um handshake e uma chamada tools/list — e nunca invoca uma ferramenta. É o mesmo tráfego que o servidor já aceita de todo agente que o utiliza.

Para um servidor realmente público e somente de leitura pode estar tudo bem, e por isso o ponto é relatado em vez de tratado como falha. Mas se as ferramentas gravam dados, gastam dinheiro ou alcançam sistemas internos, qualquer um que descubra a URL pode enumerá-las e chamá-las.

Mais ferramentas MCP gratuitas