ToolTrust Scanner — MCP-сервер для Claude Code: аудит и установка
Статический сканер проверяет схемы инструментов до того, как агент начнёт их вызывать. Находит уязвимости в конфигурации и выставляет оценку от A до F.
claude mcp add tooltrust-scanner -- npx -y tooltrust-mcpЧто делает ToolTrust Scanner
ToolTrust Scanner анализирует конфигурацию MCP и выявляет опасные паттерны в определениях инструментов. Сервер запускается локально как подпроцесс через stdio. Никаких открытых сетевых портов не требуется. Сканер параллельно опрашивает зарегистрированные серверы и сопоставляет их спецификации с базой правил.
Внутри зашиты проверки на внедрение скрытых инструкций и утечку данных. Движок отслеживает выполнение произвольного кода, а также сверяет имена инструментов на опечатки. Встроенная база скомпрометированных пакетов работает офлайн. Поэтому внешние запросы при аудите зависимостей не требуются.
Если сервер не передал ссылки на репозиторий или метаданные зависимостей, сканер отметит аудит цепочки поставок как неполный. Это сигнал проверить проект вручную.
Какие задачи решает
- найти скрытые вызовы запуска произвольного кода в инструментах
- выявить передачу учётных данных и паролей через поля ввода
- обнаружить скомпрометированные библиотеки по офлайн-списку
- проверить конфигурацию окружения на подмену имён и тайпсквоттинг
Примеры запросов агенту
- Просканируй текущую конфигурацию через tooltrust_scan_config
- Запусти аудит установленных MCP-серверов и покажи оценки безопасности
Как установить ToolTrust Scanner
Командой платформы
claude mcp add tooltrust-scanner -- npx -y tooltrust-mcpКомандой платформы
codex mcp add tooltrust-scanner -- npx -y tooltrust-mcpФайл настроек
{
"mcpServers": {
"tooltrust-scanner": {
"command": "npx",
"args": [
"-y",
"tooltrust-mcp"
]
}
}
}Файл настроек
{
"servers": {
"tooltrust-scanner": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"tooltrust-mcp"
]
}
}
}Командой платформы
gemini mcp add tooltrust-scanner npx -y tooltrust-mcpПо шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о ToolTrust Scanner
Как установить ToolTrust Scanner в Claude Code?
Выполните команду claude mcp add tooltrust-scanner -- npx -y tooltrust-mcp. Среда зарегистрирует сервер и запустит его как локальный подпроцесс.
Что делает ToolTrust Scanner?
Он выполняет статический анализ спецификаций MCP-серверов и присваивает им рейтинг от A до F. Сканер оценивает схемы ввода, права доступа и потенциальные уязвимости цепочки поставок.
Требуется ли доступ в интернет для проверки уязвимостей?
Базовый анализ скомпрометированных пакетов использует встроенный офлайн-список, поэтому подключение к сети для него не нужно. Однако проверка через базу OSV требует соединения.
