"GITHUB_PERSONAL_ACCESS_TOKEN": "ghp_..." in einer committeten .mcp.json gibt dein Token an alle weiter, die das Repository lesen können. npx -y @modelcontextprotocol/server-github ohne Versionsangabe führt bei jedem Serverstart durch deinen Editor die zuletzt veröffentlichte Version aus. Dieser Skill findet solche und acht weitere Fehler in MCP-Konfigurationen, bevor du sie committest oder lädst, und erklärt, wie du sie behebst.

Dein Agent führt einen Scanner für deine MCP-Konfigurationen aus: Claude Code (.mcp.json, ~/.claude.json, Plugin-Manifeste), Claude Desktop, Cursor (.cursor/mcp.json), VS Code (.vscode/mcp.json mit servers und inputs), Windsurf, Cline, Roo Code und Gemini CLI (.gemini/settings.json). Er akzeptiert Kommentare und nachgestellte Kommas, erkennt die Variablensyntax jedes Clients (${VAR}, ${env:VAR}, ${input:id}, $VAR) und löst cmd /c, sh -c und powershell -Command auf, um den tatsächlichen Befehl zu erkennen. Er startet niemals einen Server, installiert kein Paket und stellt keine Verbindung her. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und sichererem Vorgehen. Geheimnisse werden nie ausgegeben.

Was geprüft wird

BLOCK (vor der Weitergabe beheben)

• M01: API-Schlüssel, Tokens, Passwörter und Bearer-Zugangsdaten in env, Headern, args, URLs oder OAuth-Einstellungen

• M02: entfernte Server über unverschlüsseltes http:// oder ws:// (ausgenommen localhost, private Adressen und Tailscale)

• M03: Serverbefehle, die einen Download per Pipe an eine Shell übergeben (curl | bash, iwr | iex)

• M04: Docker-Server mit --privileged, SYS_ADMIN, --pid=host, eingebundenem Host-Wurzelverzeichnis / oder Docker-Socket

REVIEW (vor der Veröffentlichung prüfen)

• M11: npx-, uvx-, pipx-, bunx- und pnpm-dlx-Pakete oder Docker-Images ohne genaue Version oder mit @latest

• M12: Serverinstallationen aus einem git-Repository, einer GitHub-Kurzangabe owner/repo oder einer Tarball-URL ohne Commit-Hash

• M13: Dateisystemserver oder Container-Mounts mit Zugriff auf /, ein Laufwerkswurzelverzeichnis oder einen Benutzerordner

• M14: autoApprove- oder alwaysAllow-Listen mit * oder Schreib- und Ausführungswerkzeugen sowie trust: true in Gemini CLI

• M15: deaktivierte TLS-Prüfungen (NODE_TLS_REJECT_UNAUTHORIZED=0, --ignore-https-errors und Ähnliches)

• M16: mit sudo, doas oder runas gestartete Server

Das ist enthalten

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen zu jeder Regel

• Ein riskantes und ein sicheres Beispielprojekt (Konfigurationen für Claude Code, Cursor, VS Code, Roo Code und Gemini CLI) sowie der tatsächliche Scanner-Bericht zum riskanten Beispiel

Grenzen

Der Scanner liest jede Konfiguration in ihrer vorliegenden Form: Später eingesetzte Werte (Umgebungsvariablen, env-Dateien, VS-Code-Eingaben, die Einstellungsoberfläche eines Clients), Freigaberegeln in anderen Dateien, TOML- oder YAML-Konfigurationen wie Codex config.toml und das Verhalten des Servercodes selbst werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 16 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (alle Regeln mit Begründung und sichererem Vorgehen) und examples/ (10 Beispieldateien plus report.md, die tatsächliche Scanner-Ausgabe zum riskanten Beispiel).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke das Archiv in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, keine Datenübertragung.