mcp-scanner

MCP Scanner 是 Cisco AI Defense 推出的 Python 工具，用于发现 MCP 服务器及其工具中的安全问题。README 称它结合了三个可以一起或单独运行的引擎：YARA 规则、作为裁判的大模型，以及 Cisco AI Defense 检测 API。它能扫描工具、提示词、资源和服务器说明，可以作为独立 CLI 或 REST API 服务器运行。

除了三个引擎，功能列表还包括：用 pip-audit 扫描 Python 依赖中的已知漏洞（CVE、PYSEC、GHSA），零依赖的静态就绪性扫描（超时、重试、错误处理等问题），对服务器源码的行为扫描，对随服务器打包的二进制文件做 VirusTotal 哈希查询，以及在 Docker 沙箱中扫描 PyPI 包。它还支持对预先生成的 JSON 文件做静态或离线扫描，适合 CI/CD 和隔离网络，支持针对 SSE 和 streamable HTTP 连接的 OAuth、自定义 YARA 规则和详细报告。

它需要 Python 3.11+ 和 `uv`，用 `uv tool install --python 3.13 cisco-ai-mcp-scanner` 安装。Cisco API 密钥、大模型服务商密钥和 VirusTotal 密钥都是可选的，所以 YARA 引擎不需要任何密钥。stdio 服务器也能扫描，启动超时默认 60 秒，可以调大。许可证为 Apache 2.0，最近一次推送是 2026-10-13。本评测基于 README 和仓库数据，我们没有实际运行过它。