MCP 服务器与 AI 智能体的开源安全工具
MCP 服务器可以代表你读取文件、调用 API 和运行命令，安装一个 MCP 服务器更像是安装一个程序，而不是添加一个插件。恶意或粗心的服务器可能泄露数据，也可能被提示注入操控。
下面的防御类工具承担四项工作：在信任之前扫描服务器、在受限容器中运行、通过网关过滤智能体流量，以及在运行时检测可疑行为。这份清单只涵盖防御。
AgentIndex · 更新于 2026-10-14
快速选择
- mcp-scanner — 用 YARA 规则、大模型裁判和 Cisco 检测 API 扫描 MCP 服务器与工具；YARA 引擎无需密钥。
- toolhive — 在受限容器中运行并管控 MCP 服务器，本地或 Kubernetes 均可。
- agentgateway — 面向 LLM、MCP 和 A2A 流量的开源代理，带护栏和可观测性。
- agentic_security — 面向 LLM 和智能体工作流的漏洞扫描器，用于对自己的系统做红队测试。
- ADR — Uber 的研究代码：用于保护基于 MCP 的智能体的遥测传感器和双智能体检测器。
并排对比
| 工具 | 简介 | Star | 许可证 | 最近推送 | 安装 |
|---|---|---|---|---|---|
| mcp-scanner | Apache-2.0 的扫描器，用 YARA 规则、大模型裁判和 Cisco 检测 API 检查 MCP 服务器与工具是否存在恶意或风险行为 | 1.1k | Apache-2.0 | 2026-10-13 | uv tool install --python 3.13 cisco-ai-mcp-scanner |
| toolhive | 在隔离容器里运行和管控 MCP 服务，本地或 Kubernetes 均可 | 2.3k | Apache-2.0 | 2026-10-13 | git clone https://github.com/stacklok/toolhive.git |
| agentgateway | 面向 LLM、MCP 和 A2A 流量的开源代理，带护栏和可观测性 | 5.3k | Apache-2.0 | 2026-10-13 | curl -sL https://agentgateway.dev/install.sh | bash -s -- --install-path /usr… |
| archestra | 开源企业 AI 平台，带 LLM 网关和 MCP 网关 | 4.4k | AGPL-3.0 (enterprise parts under a commercial license) | 2026-10-13 | docker pull archestra/platform:latest; docker run -p 9000:9000 -p 3000:3000 -… |
| agentic_security | 面向大模型和智能体工作流的开源漏洞扫描器 | 2.0k | Apache-2.0 | 2026-09-22 | pip install agentic_security |
| ADR | Uber 的 Apache-2.0 研究代码：用于保护基于 MCP 的 AI 代理的遥测传感器和双代理检测器 | 2.0k | Apache-2.0 | 2026-10-13 | git clone https://github.com/uber/ADR |
| AiSOC | MIT 许可、可自托管的 AI 安全运营中心，内置本地模型，智能体调查可审计，响应需人工批准 | 2.4k | MIT | 2026-10-12 | git clone https://github.com/beenuar/AiSOC |
| agent | 带密钥替换和网络层护栏的终端 DevOps 智能体 | 1.8k | 未知 | 2026-07-06 | curl -sSL https://stakpak.dev/install.sh | sh |
本清单中已有 AgentIndex 深度评测的工具: 8/8
如何选择
- 安装之前先扫描。能读取工具描述、提示词和源码的扫描器，可以尽早发现明显问题。
- 隔离你运行的东西。基于容器的工具能限制被攻破的服务器可以接触的范围。
- 如果多个智能体或多人共用服务器，就加上网关或护栏，这样有一个地方统一执行策略并记录调用。
- 扫描器能降低风险，但不能证明安全；干净的报告仍可能漏掉问题。
- 检查哪些工具需要托管服务或 API 密钥，以及扫描数据会发送到哪里。
常见问题
怎么判断一个 MCP 服务器是否安全？
阅读它的源码和工具描述，用最小权限凭据运行，并用 MCP Scanner 这类工具扫描。优先选择有人维护、广为人知的服务器，并把任何服务器当作 shell 对待：权限允许什么，它就能做什么。
MCP 里的工具投毒或提示注入是什么？
指工具描述、工具结果或文档里的文字含有指令，诱导模型做你没有要求的事，比如泄露数据。扫描器会查找这类模式，网关和护栏可以限制损失。
扫描器和网关都需要吗？
它们解决不同的问题。扫描器在你信任服务器之前检查它；网关或容器运行时在它运行期间控制它能做什么。对于个人使用之外的场景，两者都用比较合理。
这份清单怎么来的
工具由我们从收录的项目中人工挑选，优先选择我们深度评测过的。Star、许可证、最近推送日期和安装命令来自各项目仓库，并随站点数据刷新。我们阅读了每个项目的 README 和文档，但没有逐个实际运行，依赖前请自行测试。