subprocess.getoutput(f"git log {ref}") en una herramienta permite que cualquier página, issue o archivo que lea el modelo ejecute comandos en tu equipo, y un bloque IMPORTANT oculto en la descripción de una herramienta puede ordenar al modelo que lea tus claves SSH y no diga nada al respecto. Esta habilidad detecta esos errores y otros once errores de servidores MCP antes de que publiques, instales o conectes un servidor, y te explica cómo corregir cada uno.

Tu agente ejecuta un escáner sobre el código fuente del servidor: Python con el mcp SDK (FastMCP, MCPServer, el Server de bajo nivel) o el paquete fastmcp, y TypeScript o JavaScript con @modelcontextprotocol/sdk, los paquetes @modelcontextprotocol/server o fastmcp. Omite los comentarios, distingue las cadenas del código, sigue los argumentos de las herramientas desde los parámetros del handler a través de variables y hasta funciones auxiliares del mismo archivo, y acepta las protecciones habituales (comprobación de la raíz de las rutas, listas de hosts permitidos, shlex.quote, validación por esquema, autenticación bearer). Nunca ejecuta ni importa el servidor, ni se conecta a él. Devuelve BLOCK, REVIEW o NOT FLAGGED, con el archivo, la línea, el motivo y una alternativa más segura. Los secretos nunca se muestran.

Qué comprueba

BLOCK (corregir antes de publicar)

• M01: argumentos de herramientas u otros valores no fijos en comandos de shell (subprocess con la opción shell, también bajo alias de importación, os.popen y system, getoutput, listas sh -c, exec/execSync de Node se importe como se importe, spawn con una opción shell); los valores con shlex.quote y los parámetros int tipados son correctos
• M02: eval, exec, new Function o node:vm ejecutados sobre valores no fijos
• M03: claves de API, tokens y contraseñas escritos en el código del servidor
• M04: instrucciones ocultas para el modelo en descripciones de herramientas, prompts y parámetros o en las instrucciones del servidor (bloques con la etiqueta IMPORTANT, caracteres de etiqueta Unicode o de anulación bidi, secretismo hacia el usuario combinado con la lectura de claves SSH o de mcp.json, o dos señales más débiles juntas); las notas normales, los marcadores de posición y el texto en otros idiomas distintos del inglés no se marcan

REVIEW (revisar antes del lanzamiento)

• M11: argumentos de herramientas usados como rutas de archivo sin comprobar que se mantienen dentro de una carpeta permitida
• M12: URL o hosts procedentes de argumentos de herramientas que se solicitan sin lista de permitidos (SSRF)
• M13: transportes HTTP que escuchan en todas las interfaces sin autenticación
• M14: transportes HTTP sin comprobación de Host ni de Origin (DNS rebinding)
• M15: print, console.log y otras escrituras en stdout en servidores stdio
• M16: handlers de bajo nivel de tools/call que leen argumentos que nada valida
• M17: herramientas que devuelven al modelo el entorno o variables de entorno secretas
• M18: SQL construido a partir de cadenas con valores no fijos
• M19: una única señal más débil de instrucciones ocultas en el texto de una herramienta (secretismo hacia el usuario, una orden de ignorar las instrucciones anteriores, un par de etiquetas de sistema, una etiqueta IMPORTANT suelta, suplantar otra herramienta, caracteres de ancho cero)

Qué incluye

• El escáner (Python 3.9+, solo biblioteca estándar)
• Una guía de reglas con el motivo, una alternativa más segura y la fuente oficial de cada regla
• Un servidor de ejemplo con riesgos y otro seguro (Python y TypeScript), y el informe real que genera el escáner sobre el de riesgo

Limitaciones

Lee cada archivo por separado: los argumentos de las herramientas solo se siguen dentro de un archivo y hasta unas pocas llamadas de profundidad. No se comprueban los archivos de configuración de clientes MCP, las vulnerabilidades de dependencias, la versión del SDK instalada, un proxy inverso delante del servidor ni el comportamiento en tiempo de ejecución; no se leen los SDK de Go, Java, Kotlin, C# y Rust. NOT FLAGGED no es una garantía.

Contenido

Un archivo ZIP con 18 archivos: SKILL.md, el escáner en scripts/ (9 archivos de Python), references/rules.md (cada regla con su motivo y una alternativa más segura) y examples/ (6 archivos de ejemplo más report.md, la salida real del escáner sobre el ejemplo de riesgo).

Cómo usarlo: Es una habilidad (skill) para agentes: una carpeta con un archivo SKILL.md y scripts de Python que puede ejecutar un agente de programación con IA como Claude Code, Cursor o Codex CLI. Descomprímela en la carpeta de skills de tu agente (para Claude Code: ~/.claude/skills/) y después pide a tu agente que revise tu proyecto. Los scripts también funcionan por sí solos con Python 3.9 o posterior, sin instalar nada. Solo leen tus archivos: sin acceso a la red y sin enviar nada a ninguna parte.