MCP Security Scanner: Prova o que um scanner limpo cobre

Um scanner de segurança MCP pode responder a uma valiosa pergunta pré voio: que componentes de agente descobri, e que riscos o scanner encontrou na versão que inspecionou? Não pode responder a toda a pergunta operacional: o agente conectado está saudável agora, e a chamada de ferramenta produziu o resultado pretendido? Use uma digitalização limpa como um recibo limitado. Antes de confiar nele, verifique quatro coisas separadamente: 1. O scanner cobriu todas as configurações e componentes relevantes; 2. A execução do scanner não executou um servidor local não confiável fora de uma caixa de areia; 3. O manifesto escaneado continua a ser o manifesto que o cliente utilizará; 4. uma sessão ao vivo e um teste de resultados específico do destino após a digitalização. Esse limite é importante porque a digitalização não é necessariamente passiva. A documentação para o Snyk Agent Scan v0.5.15 diz que a varredura de uma configuração MCP inicia os comandos stdio definidos nele para que o scanner possa recuperar descrições de ferramentas. O seu fluxo interativo padrão pede primeiro o consentimento. A mesma documentação marca os campos de saída CLI e os códigos de emissão como experimentais. O padrão razoável é, portanto: inventário em geral, digitalização em um ambiente descartável quando uma configuração não é já confiável, preservação de um recibo minimizado de conteúdo, e exigir evidências vivas antes de mudar o estado de saúde de um agente. Comece com um recibo de cobertura, não uma linha verde. Um relatório do scanner precisa de um denominador. Não há resultados significa pouco se uma configuração de nível de projeto, um servidor com extensão ou um comando local recusado nunca entraram na varredura. A documentação Agent Scan v0.5.15 publica duas matrizes úteis: agentes suportados por sistema operacional e cobertura de detecção por âmbito de configuração. A matriz de alcance distingue explicitamente os locais do sistema, do usuário, do projeto/espaço de trabalho e da extensão/plugin. Também contém lacunas. Isso é mais saudável do que uma promessa não documentada de descoberta universal, mas significa que o operador deve comparar a cobertura do scanner com a instalação real. Construa um recibo com identificadores e hashes, não pedidos, credenciais, argumentos de ferramentas ou resultados: O expectedConfigs deve vir do seu inventário de implantação, não da conta de descobertas do scanner. Caso contrário, um arquivo não descoberto reduz o numerador e o denominador e ainda parece completo. Põe também a liberação do scanner. O Agent Scan v0.5.15 versão, publicado em 16 de julho de 2026, inclui binários de plataforma, checksums, um arquivo checksum assinado e um SBOM. Aqueles artefatos permitem que você grave exatamente o que foi executado. Não certificam futuras versões, um binário reconstruído localmente ou a segurança de um servidor MCP. Trate um servidor declinado como uma lacuna de inventário, não como um servidor de passagem. O declínio pode ser a decisão correta de segurança. O veredicto agregado resultante ainda é incompleto porque as ferramentas e descrições do servidor não foram inspecionadas. Tratar a execução do scanner como um teste privilegiado O Melhores práticas em matéria de segurança do MCP atual descreve os servidores locais como binários baixados ou criados que podem ser executados com os privilégios do cliente. Para a configuração local de um clique, a orientação exige mostrar o comando exato e obter a aprovação explícita antes da conexão. Também recomenda sandboxing e restringir o acesso ao sistema de arquivos, rede e processo. Aplique a mesma precaução a um scanner que inicia os servidores configurados. Um comando malicioso ou simplesmente superprivilegiado não se torna inofensivo porque seu processo parental é chamado de scanner. Para uma configuração desconhecida: Copiar apenas os dados de configuração e de fixação necessários numa máquina virtual ou em recipiente descartável; Eliminar as credenciais de produção e substituir os destinos por duplas provas locais; negar acesso à rede, a menos que seja exigido por um teste específico; montar o sistema de arquivos somente de leitura, sempre que possível; Revisar o comando exato e os argumentos antes do consentimento; registar quais servidores foram recusados, demorados ou falharam na inicialização. Não resolva a automação não interativa, habilitando cegamente uma bandeira run de cada servidor configurado em um laptop do desenvolvedor ou host de produção. O scanner pode necessitar de um modo desse tipo para a CI controlada, mas a decisão de confiança pertence ao ambiente e ao manifesto, não à conveniência da bandeira. Há também uma questão de limites de dados. O Agente Scan documenta que os nomes e descrições dos componentes podem ser enviados ao seu serviço de análise, enquanto diz que o conteúdo e os resultados das chamadas de ferramenta MCP não são armazenados ou registados. Revisar a política e a configuração real do scanner que escolher. Um recibo operacional sem conteúdo deve conservar códigos de emissão, contagens, versões, hashes, lacunas de cobertura e timestamps; não deve copiar descrições sensíveis ou saída do servidor num painel de saúde por padrão. Evidências de digitalização separadas da saúde viva Um scanner funciona principalmente antes ou em torno da conexão. A saúde do agente continua depois daquele ponto. Mantenha três recibos: Scan receita: cobertura de estoque, versão do scanner, resultados, execução segura e hash do manifesto. Recebo de sessão ao vivo: inicialização bem sucedida, protocolo e recursos negociados, autorização atual, descoberta de ferramentas novas e correlação de solicitação/resposta limitada. ORecebo de resultados: Evidência determinista do destino de que a alteração ou entrega prevista existe. A distinção impede dois estados falsamente verdes. Primeiro, a configuração pode mudar após a varredura. Uma descrição de ferramenta, argumento de comando, versão do pacote, URL do servidor ou escopo podem deslocar se enquanto o antigo relatório permanece verde. Compare um hash de manifesto normalizado no momento da digitalização e imediatamente antes da conexão. Um desajuste significa STALE SCAN ; não significa probablemente seguro. Em segundo lugar, um scanner pode passar enquanto o tempo de execução não é acessível, não autorizado ou não pode concluir uma chamada de ferramenta. Mesmo uma resposta bem sucedida ao MCP tools/call não prova o efeito externo. Um arquivo pode ser escrito no diretório errado, uma API pode aceitar, mas mais tarde rejeitar um trabalho, ou uma mensagem pode nunca chegar ao seu destino. Verificar o artefacto ou declarar o pedido do utilizador. A seguinte prioridade dá a cada falha uma ação limitada seguinte: A idade de 24 horas neste exemplo é uma entrada de política, não uma constante de protocolo. Uma configuração de desenvolvimento que muda frequentemente pode precisar de uma janela muito mais curta. Uma implantação imutável e assinada poderia usar o hash match como a verificação decisiva da frescura. Repete os casos inconvenientes antes da adoção Repeti oito recibos sem conteúdo contra esse classificador: um comando não confiável escaneado diretamente no host; um servidor recusado durante a descoberta; Uma constatação crítica; Um manifesto alterado após a digitalização; uma digitalização limpa e atual, sem verificação ao vivo; uma digitalização limpa seguida de uma sessão ao vivo falhada; Uma devolução bem sucedida da ferramenta sem provas de destino; uma varredura atual, sessão ao vivo passando e resultado verificado. Todos os oito produziram o estado esperado. Mais importante ainda, a caixa de escaneador produzida apenas SCANNER PASS ONLY , não HEALTHY BOUNDARY . O primeiro veredicto saudável exigia as três camadas de provas. Esta não é uma referência da precisão da detecção do scanner. Eu deliberadamente não executei configurações de MCP de terceiros no host: a documentação fonte estabelece que fazendo isso pode iniciar comandos locais. Para comparar motores de detecção, criar equipamentos representativos seguros para os riscos que você se importa, executar cada scanner em um ambiente isolado, e medir falsos negativos, falsos positivos, escopo não suportado, e estabilidade de saída. Essa limitação é operacionalmente útil. Impede uma equipa de transformar uma comparação de scanners não verificada numa alegação de segurança. Usar um scanner para a decisão que pode apoiar Adotar um scanner de segurança MCP quando lhe dar um inventário melhor de componentes, captar configurações relevantes ou riscos manifestos, expõe os seus limites de cobertura e pode funcionar dentro dos seus limites de segurança. Rejeitar ou conter quando a própria digitalização precisa de privilégios ou transferência de dados que você não pode justificar. Após a adoção: 1. Aponte e verifique o artefacto do scanner; 2. Definir o inventário de configuração esperado fora do scanner; 3. Escanar comandos locais não confiáveis apenas num ambiente descartável; 4. Bloquear as conclusões críticas e as lacunas explícitas na cobertura; 5. Comparar novamente o hash do manifesto no momento da conexão; 6. Realizar uma verificação mínima de inicialização e autorização ao vivo; 7. Verificar um resultado representativo do destino antes de declarar a saúde. O scanner não é diminuído por esta regra. Torna se mais confiável porque o seu veredicto está anexado às evidências que observou. A Sidewisp é uma plataforma de saúde de agentes AI destinada a tornar visíveis evidências, frescura, incerteza e a próxima ação segura em tempos de execução existentes. A Sidewisp está atualmente em prévia privada. Scanagem de MCP de produção, recolha de agentes vivos e adaptadores de recuperação não são enviados hoje.