agent-guard-mcp

agent-guard-mcp

一言で言うと： AI エージェントが行動する前に検証して安全を確保します。インストールやマージの前に、パッケージ、ロックファイル、スキルマニフェスト、CI ワークフローをチェックします。API キー不要。設定不要。

Cursor／Claude のスキルマニフェストと GitHub Actions ワークフローを評価します。npm の依存関係だけではありません。

次のような場合…	呼び出すツール
npm install foo を実行する／エージェントが新しい依存関係を提案する	check_package
LLM が生成したロックファイルをレビューする	verify_lockfile
Cursor スキルまたは MCP プラグインをインストールする	score_manifest
.github/workflows/* に触れる PR をマージする	check_workflow

依存関係をインストールする前、CI の変更をマージする前、またはサードパーティのスキル／プラグインをインストールする前に、これらを呼び出してください。エージェントが、幻覚によるパッケージ、タイポスクワッティング、悪意のあるマニフェスト、侵害された CI アクションを拒否できるようになります。

4 つの MCP ツールを提供します（通常の HTTP サービスとしても利用できます）。

ツール	呼び出すタイミング	返される内容
check_package	単一の npm／PyPI 依存関係を追加する前	OK／SUSPICIOUS／DANGER + タイポスクワッティング／粗悪なパッケージ名のフラグ
verify_lockfile	npm/pip/yarn install を実行する前	ロックファイル内のすべての直接依存関係と推移的依存関係をスキャン
score_manifest	Cursor／Claude スキルまたは MCP／Smithery プラグインをインストールする前	悪意のあるシグネチャ＋スコープ逸脱＋ドリフトのスコア（0～100）
check_workflow	CI に触れる PR をマージする前	変更可能なアクションのピン留め、侵害されたアクション、curl|bash、pwn-requests、シークレットの露出にフラグを付与

目的

AI エージェントは、パッケージ名を日常的に幻覚し（slopsquatting）、LLM が生成したロックファイルを信頼し、未審査のスキルパックをインストールし、CI アクションを変更可能なタグにピン留めします。いずれも、現実に存在するサプライチェーンの攻撃経路です。このサーバーを使えば、エージェントは行動する前に、手軽に「これは安全か？」を確認できます。

インストール（MCP クライアント）

{
  "mcpServers": {
    "agent-guard": { "command": "npx", "args": ["-y", "@liminallablibs/[email protected]"] }
  }
}

エージェントのルール（Cursor Rules／CLAUDE.md に貼り付け）

npm／PyPI パッケージのインストール、ロックファイルからのインストール実行、サードパーティのスキル／MCP プラグインのインストール、または CI ワークフローの変更のマージを行う前に、agent-guard MCP ツール（check_package、verify_lockfile、score_manifest、check_workflow）を呼び出してください。判定が SUSPICIOUS、REVIEW、または BLOCK/DANGER の場合は処理を中止し、検出結果をユーザーに提示してください。続行してはいけません。

クイックデモ

npx -y @liminallablibs/[email protected]   # MCP clients spawn this via npx
# HTTP mirror:
npm run http && curl "http://localhost:8402/check?name=reactt&ecosystem=npm"
# → DANGER — typosquat of "react"

または、直接実行します。

npm install
node src/mcp-server.mjs        # stdio MCP server
npm run http                   # optional HTTP mirror on :8402

HTTP エンドポイント（MCP ツールと同等）

• GET /check?name=<pkg>&ecosystem=<npm|pypi>
• POST /check-lockfile {lockfile_content, format} — format ∈ package-lock.json | yarn.lock | pnpm-lock.yaml | poetry.lock | requirements.txt
• POST /score-manifest {manifest_type, manifest_content}
• POST /check-workflow {workflow_content}

ライセンス

MIT。