# ToolTrust Scanner

Статический сканер проверяет схемы инструментов до того, как агент начнёт их вызывать. Находит уязвимости в конфигурации и выставляет оценку от A до F.

- MCP-сервер · `type=mcp` · Claude Code, Codex, Cursor, GitHub Copilot, Windsurf (Devin Desktop), Cline, Zed, Gemini CLI · ★ 19
- Автор: AgentSafe-AI
- Лицензия: MIT · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/AgentSafe-AI/tooltrust-scanner
- Обновлён: 2026-10-19
- HTML: https://affpapa.org/nevibecode/mcp/tooltrust-scanner

## Что делает

ToolTrust Scanner анализирует конфигурацию MCP и выявляет опасные паттерны в определениях инструментов. Сервер запускается локально как подпроцесс через stdio. Никаких открытых сетевых портов не требуется. Сканер параллельно опрашивает зарегистрированные серверы и сопоставляет их спецификации с базой правил.

Внутри зашиты проверки на внедрение скрытых инструкций и утечку данных. Движок отслеживает выполнение произвольного кода, а также сверяет имена инструментов на опечатки. Встроенная база скомпрометированных пакетов работает офлайн. Поэтому внешние запросы при аудите зависимостей не требуются.

Если сервер не передал ссылки на репозиторий или метаданные зависимостей, сканер отметит аудит цепочки поставок как неполный. Это сигнал проверить проект вручную.

## Требования
- Нужно: Node.js (команды через npx)

## Установка

### Claude Code (родная платформа)

**Командой платформы**
```bash
claude mcp add tooltrust-scanner -- npx -y tooltrust-mcp
```

### Codex

**Командой платформы**
```bash
codex mcp add tooltrust-scanner -- npx -y tooltrust-mcp
```

### Cursor

**Файл настроек**
Файл `.cursor/mcp.json`:
```json
{
    "mcpServers": {
        "tooltrust-scanner": {
            "command": "npx",
            "args": [
                "-y",
                "tooltrust-mcp"
            ]
        }
    }
}
```

### GitHub Copilot

**Файл настроек**
Файл `.vscode/mcp.json`:
```json
{
    "servers": {
        "tooltrust-scanner": {
            "type": "stdio",
            "command": "npx",
            "args": [
                "-y",
                "tooltrust-mcp"
            ]
        }
    }
}
```

### Gemini CLI

**Командой платформы**
```bash
gemini mcp add tooltrust-scanner npx -y tooltrust-mcp
```

## Когда брать
- найти скрытые вызовы запуска произвольного кода в инструментах
- выявить передачу учётных данных и паролей через поля ввода
- обнаружить скомпрометированные библиотеки по офлайн-списку
- проверить конфигурацию окружения на подмену имён и тайпсквоттинг

## Примеры запросов агенту
- Просканируй текущую конфигурацию через tooltrust_scan_config
- Запусти аудит установленных MCP-серверов и покажи оценки безопасности

## Похожие
- [REA](https://affpapa.org/nevibecode/mcp/rea.md) — MCP-сервер · ★ 386989
- [World Monitor](https://affpapa.org/nevibecode/mcp/world-monitor.md) — MCP-сервер · ★ 89408
- [mcp](https://affpapa.org/nevibecode/mcp/kubeshark-mcp.md) — MCP-сервер · ★ 12109
- [Robin: AI-Powered Dark Web OSINT](https://affpapa.org/nevibecode/mcp/robin-ai-powered-dark-web-osint.md) — MCP-сервер · ★ 7658
- [jshookmcp](https://affpapa.org/nevibecode/mcp/jshookmcp.md) — MCP-сервер · ★ 2061
- [OpenOSINT](https://affpapa.org/nevibecode/mcp/openosint.md) — MCP-сервер · ★ 1802

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md