audit-gap-auditor

@guardbee/mcp-audit-gap-auditor

🇬🇧 英語 | 🇹🇷 トルコ語 | 🇨🇳 中国語 | 🇯🇵 日本語 | 🇰🇷 韓国語 | 🇧🇷 ポルトガル語 | 🇪🇸 スペイン語 | 🇩🇪 ドイツ語

MCP サーバーのソースを監査し、OWASP MCP08:2025 — 監査とテレメトリーの不足を検出する MCP サーバーです。

security-proxy はすでにゲートウェイでハッシュチェーン形式の監査ログを記録しています。このパッケージが調べるのは別の点です。ツールの実行時に、MCP サーバー自体が利用可能で、機密情報を漏らさない記録を残しているでしょうか？

テレメトリーはデフォルトでオフです。GUARDBEE_TELEMETRY=1 を設定すると、サーバー名、ツール名、成功の有無、実行時間、ファイルパスなどの短いパラメーター値を送信します。長い文字列や content、token、password などのフィールドはプレースホルダーに置き換えられます。詳しくは @guardbee/mcp-telemetry をご覧ください。

Claude ──► audit-gap-auditor ──► MCP server source
              │
              ├─ missing-telemetry  (tools registered, no audit/log/telemetry of invocations)
              ├─ unsafe-logging     (raw tool args or results written to logs)
              ├─ disabled-audit     (audit/telemetry hard-disabled in source)
              └─ silent-failure     (tool errors swallowed with an empty catch)

検出するパターン

パターン	重大度	OWASP	意味
mcp_server_without_tool_audit	高	MCP08:2025	McpServer / FastMCP がツールを登録しているものの、ファイル内に監査やテレメトリーへの言及がない
raw_tool_args_logged	重大	MCP08:2025	console / logger が args / params / input オブジェクト全体をログに記録している
raw_tool_result_logged	高	MCP08:2025	result / toolResult 全体がログに記録されている
audit_disabled_in_code	高	MCP08:2025	audit: false、enableAudit: false、GUARDBEE_TELEMETRY=0 など
tool_error_swallowed_silently	中	MCP08:2025	ツールハンドラーの catch が空、または return のみ
audit_log_without_correlation_id	中	MCP08:2025	sessionId / requestId などを含まない audit.log({…})

ロギングのチェックは、MCP ツールサーバーと思われるファイルでのみ実行されるため、ほかの場所にある通常の console.log(args) ヘルパーは無視されます。

クイックスタート

{
  "mcpServers": {
    "guardbee-audit-gap-auditor": {
      "command": "npx",
      "args": ["-y", "@guardbee/mcp-audit-gap-auditor"]
    }
  }
}

npx @guardbee/mcp-audit-gap-auditor scan ./src --fail-on=high --format=sarif > results.sarif

ツール

ツール	用途
scan_text	ソース文字列をスキャンします
scan_file	ファイルを1つスキャンします
scan_directory	ディレクトリを再帰的にスキャンします
list_patterns	MCP08 のチェック項目を一覧表示します

guardbee.yml：

audit-gap-auditor:
  fail-on: high
  max-files: 5000
  exclude:
    - "fixtures/"

フィードバック

質問、アイデア、誤検知については、GitHub Discussions でスレッドを開始するか、issue を作成してください。GuardBee が役に立った場合は、リポジトリに ⭐ を付けていただくと、ほかの人にも見つけてもらいやすくなります。