mcp-scan
App : Un produit que vous utilisez directement
Scanne vos serveurs MCP et skills installés contre le tool poisoning, les rug pulls et les injections.
À lancer avant et après chaque installation de MCP communautaire.
La sécurité reflète la destination des données, les permissions demandées et les incidents recensés à la date de vérification. Ce n’est pas une garantie d’absence de risque : vérifiez le mode de déploiement et les connexions que vous activez.
Ce que ça fait, concrètement
Les serveurs MCP (Model Context Protocol) et les skills d'agents IA peuvent contenir des instructions malveillantes cachées dans leurs descriptions d'outils, des injections de prompt ou des charges malveillantes difficiles à détecter à l'oeil nu. mcp-scan, désormais intégré à Snyk sous le nom Agent Scan, répond à ce besoin de vérification avant d'accorder sa confiance à un composant tiers.
L'outil analyse automatiquement les fichiers de configuration des agents installés sur la machine (Claude, Cursor, VS Code, Windsurf, Gemini CLI, Amazon Q et d'autres) pour y trouver les serveurs MCP et les skills. Il se connecte ensuite à chaque serveur, récupère les descriptions d'outils et les soumet à une analyse de sécurité qui détecte plus de 15 types de risques distincts : injections de prompt, tool poisoning, tool shadowing, gestion de secrets, téléchargements suspects ou code malveillant.
Agent Scan s'adresse aux développeurs et aux équipes techniques qui utilisent des agents IA avec des serveurs MCP communautaires ou tiers, et qui souhaitent vérifier ce qu'ils installent avant de l'exécuter dans leur environnement de travail. Une offre entreprise permet en outre à des équipes sécurité de surveiller l'ensemble du parc en continu via la plateforme Snyk Evo.
L'outil n'est pas adapté aux utilisateurs qui n'ont pas de serveurs MCP ou de skills installés, ni à ceux qui cherchent une interface graphique : il fonctionne exclusivement en ligne de commande.
Ce que ça propose
- ·Découverte automatique des serveurs MCP et skills sur la machine pour les agents Claude, Cursor, VS Code, Windsurf, Gemini CLI, Amazon Q et d'autres.
- ·Détection de plus de 15 types de risques : injections de prompt, tool poisoning, tool shadowing, code malveillant, gestion de secrets, téléchargements suspects et données privées.
- ·Analyse par portée (système, utilisateur, projet, extension) pour chaque agent supporté.
- ·Demande de consentement explicite avant d'exécuter chaque serveur MCP stdio en mode interactif, avec affichage de la commande exacte.
- ·Rapport de risques scorés (version 0.6 et ultérieure) pour prioriser les problèmes détectés.
- ·Possibilité d'ignorer l'analyse des skills avec l'option --no-skills pour limiter la portée du scan.
- ·Mode surveillance en arrière-plan avec remontée des résultats vers la plateforme Snyk Evo pour les équipes sécurité (payant).
- ·Binaires autonomes signés GPG disponibles pour macOS, Linux et Windows, avec fichier SBOM et checksums vérifiables.
En pratique
- Prix
- Gratuit
- Usage commercial
- Usage commercial : oui
- Disponible sur
- cli
- Licence
- Apache-2.0
Sécurité et données
- Pastille
- Sécu : rien à signaler
- Vos données
- Local ou cloud selon usage
- Permissions
- Peut envoyer les descriptions d'outils à l'API Invariant/Snyk pour analyse ; mode local disponible.
- Maintenance
- Active
- Dernière release
- 20 octobre 2026
Liens et dépôt vérifiés le 25 octobre 2026 · ajoutée le 1 avril 2025
Comment installer mcp-scan
uvx snyk-agent-scan@latest