MCP-Scan: An MCP Security Scanner

Snyk Agent Scan

マシン上のエージェントコンポーネントを検出してスキャンし、プロンプトインジェクション
や脆弱性（エージェント、MCP サーバー、スキルを含む）を特定します。

注： Agent Scan の npm パッケージは公開していません。uvx を使うか、スタンドアロンバイナリとしてインストールしてください。

注：CLI の出力は試験的なものであり、変更される可能性があります

Agent Scan v0.5.x（廃止予定）

この CLI の生の出力（問題コード、フィールド名、重大度ラベル、レスポンス構造を含む）は試験的なものであり、リリース間で予告なく変更されることがあります。特定の CLI 出力フィールドや問題コードに依存する本番環境のワークフローを構築することは推奨しません。

Agent Scan v0.6 以降

この CLI の生の出力（リスク指標名、スコア、フィールド名、レスポンス構造を含む）は試験的なものであり、リリース間で予告なく変更されることがあります。特定の CLI 出力フィールドやリスク名に依存する本番環境のワークフローを構築することは推奨しません。

Snyk を使用して大規模なエージェントのセキュリティリスクを管理しているエンタープライズのお客様の場合、CLI の出力は Evo プラットフォームに送信され、表示される内容と一致しないことがあります。エンタープライズ導入を支える基盤となる統合、検出、リスク評価は安定しており、サポート対象です。変更がある場合は、Snyk の標準的な製品運用に沿ってお知らせします。導入に関するガイダンスについては、アカウントチームにお問い合わせください。

新着 Agent Scan 0.4 と同時に公開されたエージェントスキルのエコシステムにおける新たな脅威に関する技術レポートをご覧ください。Agent Scan 0.4 では、エージェントスキルのスキャンに対応しました。

Agent Scan v0.5.x の出力

警告

Agent Scan v0.5.x は問題コード形式の出力を使用します。この CLI 系統は廃止予定です。

Agent Scan v0.6 以降の出力

Agent Scan を使用すると、インストール済みのすべてのエージェントコンポーネント（ハーネス、MCP サーバー、スキル）を検出し、プロンプトインジェクション、機密データの取り扱い、自然言語に隠されたマルウェアのペイロードなど、一般的な脅威をスキャンできます。--no-skills を使うと、スキルの解析を無効にできます。

セキュリティに関する警告

⚠️ 重要：MCP 設定をスキャンすると、コマンドが実行されたり、外部へのネットワークリクエストが送信されたりする可能性があります。

ツールの説明を取得するため、Agent Scan は設定内のコマンドを実行して stdio MCP サーバーを起動し、設定されたヘッダーを使って設定済みのリモート MCP サーバー URL に接続します。

推奨事項：

• 信頼できない、またはサードパーティの MCP 設定を評価する場合は、サンドボックス内でスキャンを実行してください（Docker コンテナ、VM、一時的な環境など）。
• 対話型スキャン中は、同意プロンプトを注意深く確認してください。各サーバーのコマンドまたはリモート URL が表示されます。
• すべての MCP サーバーコマンドとリモート URL を検証済みの信頼できる環境でのみ、--dangerously-run-mcp-servers を使用してください。

リモート MCP リクエストでは、リンクローカルアドレスまたは既知のクラウドメタデータエンドポイント（169.254.0.0/16、fe80::/10、fd00:ec2::254、100.100.100.200）に解決される宛先への接続を拒否します。ローカルおよび内部 MCP サーバー向けのループバックアドレスとプライベートアドレスは引き続き許可されます。HTTP リダイレクトは追跡されません。各リクエストの前に DNS を検証しますが、接続時に再度名前解決を行うため、DNS リバインディングの隙間が残ります。

デフォルトでは、Agent Scan はフォアグラウンドの対話型実行中に、検出した各 MCP サーバーへ接続する前に、ユーザーによる明示的な同意（y/n）を求めます。バックグラウンドスキャンとプッシュキーによるスキャンでは、フリート全体を網羅するためにリモートサーバーを自動的に検査しますが、--dangerously-run-mcp-servers が設定されていない限り、stdio サーバーは起動しません。

クイックスタート

Agent Scan の実行方法を次の 2 つから選択してください。

1. 以下の手順に従って、uvx で Python パッケージを実行します。
2. お使いのプラットフォーム向けのスタンドアロンバイナリを GitHub Releases からダウンロードします。リリースには SBOM、チェックサム、署名付きチェックサム、ソースコードのアーカイブも含まれています。

どちらの方法を使う場合も、事前に次の操作を行ってください。

1. Snyk に登録し、https://app.snyk.io/account から API トークンを取得します（API Token → KEY → クリックして表示）。
2. スキャンを実行する前に、トークンを環境変数に設定します。

   export SNYK_TOKEN=your-api-token-here
   

uvx で実行する

システムに uv をインストールしてください。お使いの CLI バージョンに対応する手順を選択してください。

Agent Scan v0.5.x

以下の例では、具体的な v0.5.x リリースとして v0.5.17 を指定しています。

# Scan the whole machine
uvx [email protected]

# Scan a specific MCP configuration
uvx [email protected] ~/.vscode/mcp.json

# Scan a single agent skill
uvx [email protected] ~/path/to/my/SKILL.md

# Scan all Claude skills
uvx [email protected] ~/.claude/skills

警告

v0.5.x は課題コード形式の出力と 2025-09-02 分析 API を使用します。この CLI 系列は非推奨化が予定されています。

Agent Scan v0.6 以降

# Scan the whole machine
uvx snyk-agent-scan@latest

# Scan a specific MCP configuration
uvx snyk-agent-scan@latest ~/.vscode/mcp.json

# Scan a single agent skill
uvx snyk-agent-scan@latest ~/path/to/my/SKILL.md

# Scan all Claude skills
uvx snyk-agent-scan@latest ~/.claude/skills

v0.6 以降では、リスクベースの出力と 2026-07-10 分析 API を使用します。

どちらのバージョンも MCP サーバー、ツール、プロンプト、リソース、スキルをスキャンし、Claude Code/Desktop、Cursor、Gemini CLI、Windsurf など、対応するエージェント設定を自動的に検出します。

スタンドアロンバイナリで実行する

お使いのオペレーティングシステムとアーキテクチャに対応するバイナリを、最新の GitHub リリースからダウンロードしてください。リリースページには、SBOM（sbom-<version>.json）、チェックサムファイル、GitHub が生成したソースコードアーカイブもあります。ダウンロードの検証方法については、スタンドアロンバイナリの検証を参照してください。

主な機能

• MCP 設定、エージェントツール、スキルを自動検出
• Claude、Cursor、GitHub Copilot、Windsurf、Gemini CLI、Amp、Amazon Q、その他のエージェントをスキャン

Agent Scan v0.5.x

• MCP サーバーとエージェントスキルにまたがる15 種類以上のセキュリティリスクを検出します。
  • MCP：プロンプトインジェクション、ツールポイズニング、ツールシャドウイング、有害なフロー
  • スキル：プロンプトインジェクション、マルウェアペイロード、信頼できないコンテンツ、認証情報の取り扱い、ハードコードされたシークレット

Agent Scan v0.6 以降

• MCP サーバーとエージェントスキル全体で、14 種類のセキュリティリスクを検出します。
  • MCP：プロンプトインジェクション、信頼できないコンテンツ、プライベートデータ、破壊的な機能
  • スキル：プロンプトインジェクション、不審なダウンロード、悪意のあるコード、認証情報の取り扱い、シークレットの検出など

対応エージェントと機能

Agent Scan は、インストールパスが存在する場合にエージェントとその機能（MCP サーバーまたはスキル）を自動検出します。以下の表は、各エージェントがどのオペレーティングシステムでスキャンされるかを示しています。

• ✓：その機能に対して、少なくとも 1 つのパスが定義されています。
• ✗：その OS でエージェントは一覧にありますが、その機能のパスはありません。
• —：その OS では、そのエージェントは対象に含まれていません。
• スキル：--no-skills を使用すると、スキルを除外できます。

エージェント	macOS MCP	macOS スキル	Linux MCP	Linux スキル	Windows MCP	Windows スキル
Windsurf	✓	✓	✓	✓	✓	✓
Cursor	✓	✓	✓	✓	✓	✓
VS Code	✓	✓	✓	✓	✓	✓
GitHub Copilot	✓	✓	✓	✓	✓	✓
Claude Desktop	✓	✓	✓	✓	✓	✗
Claude Code	✓	✓	✓	✓	✓	✓
Gemini CLI	✓	✓	✓	✓	✓	✓
OpenClaw	✗	✓	✗	✓	✗	✓
Amp	✗	✓	✗	✓	✗	✓
Kiro	✓	✓	✓	✓	✓	✓
OpenCode	✓	✓	✓	✓	✓	✓
Antigravity	✓	✓	✓	✓	✓	✓
Codex	✓	✓	✓	✓	—	—
Amazon Q	✓	✗	✓	✗	✓ (WSL)	✗

スコープ別の検出範囲

上のマトリックスは、各エージェントがどのオペレーティングシステムでスキャンされるかを示しています。この表では、オペレーティングシステムを横断して、設定スコープとコンポーネントの種類（スキルと MCP サーバー）ごとに検出範囲を分類しています。「サーバー」は MCP サーバーを意味します。

4 つのスコープは次のとおりです。

• システム — すべてのユーザーに適用される、マシン全体の設定／管理者が管理する設定／企業向け設定です（例：managed-mcp.json、/etc、/Library/Application Support、ProgramData 内のファイル）。
• ユーザー — ユーザーのホームディレクトリの設定です（そのユーザーのすべてのプロジェクトに適用されます）。
• プロジェクト／ワークスペース — 開いているプロジェクトまたはワークスペースに適用される設定です。
• 拡張機能／プラグイン — インストール済みの拡張機能またはプラグインに含まれるコンポーネントです。

凡例：✓ 検出済み · ✗ エージェントは対応していますが、Agent Scan ではまだスキャンされません · N/A エージェントにはこのスコープのコンポーネントがありません

エージェント	システム スキル	システム サーバー	ユーザー スキル	ユーザー サーバー	プロジェクト／WS スキル	プロジェクト／WS サーバー	拡張機能／プラグイン スキル	拡張機能／プラグイン サーバー
Windsurf	✓	N/A	✓	✓	✓	✓	✓	✓
Cursor	N/A	N/A	✓	✓	✓	✓	✓	✓
VS Code	N/A	N/A	✓	✓	✓	✓	✓	✓
GitHub Copilot §	N/A	N/A	✓	✓	✓	✓	✓	✓
Claude Desktop	N/A	N/A	✗	✓	N/A	N/A	✓	✓
Claude Code	✗	✓	✓	✓	✓	✓	✓	✓
Gemini CLI	N/A	✗	✓	✓	✗	✗	✗	✗
OpenClaw	N/A	N/A	✓	✗	✓ †	N/A	✗	✗
Amp	N/A	✗	✓	✗	✗ ‡	✗	✗	✗
Kiro	N/A	N/A	✓	✓	✓	✓	✓	✓
OpenCode	✓	✓	✓	✓	✓	✓	N/A	N/A
Antigravity	N/A	N/A	✓	✓	✓	✓	✓	✓
Codex	✓	✓	✓	✓	✓	✓	✓	✓
Amazon Q	N/A	N/A	N/A	✓	N/A	✗	N/A	N/A

† OpenClaw には開いているプロジェクトの列挙機能がありません。プロジェクト／ワークスペースのスキルは、固定パス ~/.openclaw/workspace/skills でのみ検出されます。

‡ Amp はプロジェクト／ワークスペースのスキルを .agents/skills（および互換性パス .claude/skills）に保存します。現在検出されるのはユーザースコープの ~/.config/agents/skills のみのため、プロジェクトスコープのスキルには対応していますが、まだスキャンされません。

§ GitHub Copilot は CLI とデスクトップアプリに対応しています。これらは VS Code の Copilot と ~/.copilot ホームを共有しており、VS Code のインストール先ではなく、そのホームから検出されます。自分のホームをスキャンするときは、COPILOT_HOME によるパスの変更が適用されます。プロジェクトスコープでは、スキャン対象として渡されたフォルダーと、Copilot が permissions-config.json（locations）、config.json（trusted_folders／trustedFolders のパス一覧）、または session-state/*/workspace.yaml（cwd とそれを含む git_root）に記録した既存のローカルディレクトリ、およびそれらの祖先にある、リポジトリ相対の .mcp.json／.github/mcp.json ファイルと .github/skills、.claude/skills、.agents/skills ディレクトリが対象です。JSONC 設定ファイルに対応しています。セッションの検出では、サイズ制限のあるワークスペースメタデータのみを読み取り、不正な形式のファイルや読み取れないファイルはスキップします。プラグインスコープでは、MCP 設定の場所を変更する plugin.json マニフェストや、追加のスキルルートを宣言するマニフェストも含め、~/.copilot/installed-plugins が対象です。VS Code は同じファイルを読み取るため、Copilot のユーザーレベルのパスは VS Code の項目にも記載されています。

Claude Desktop のプラグイン検出は macOS と Linux でサポートされています。Claude Code では、Guard のインストール時およびセッション開始時の検出イベントから、claude-code-sessions/*/*/local_*.json と local-agent-mode-sessions/*/*/local_*.json に記録されたログイン済みコネクターも報告されます。コネクターは組織ごとにグループ化され、最新のセッションメタデータを使って UUID で重複排除されます。送信されるのは各コネクターの UUID、名前、URL、ツール定義、指示のみです。ヘッダーなどのその他のフィールドは削除され、URL のクエリ値は秘匿化されます。Windows では、同じセッションレイアウトを想定し、~/AppData/Roaming/Claude を使ってコネクターを検出しますが、Windows マシンではまだ検証されていません。Windows でのプラグイン検出はサポートされていません。

スタンドアロンバイナリの検証

配布の完全性と真正性を確保するため、リリースのチェックサムファイルに GPG 署名を付与しています。

検証手順ガイド

1. リリースアセットをダウンロードします： GitHub Releases ページから、お使いのプラットフォーム用のバイナリ（例：agent-scan-<version>-<os>-<arch>）と、署名済みチェックサムファイル（sha256sums.txt.asc）を同じディレクトリにダウンロードします。

2. チェックサムファイルの GPG 署名を検証します： GPG 公開鍵を同じディレクトリにダウンロードし、次のコマンドを実行します：

   gpg --import snyk-code-signing-public.pgp
   gpg --verify sha256sums.txt.asc
   

   出力に gpg: Good signature from "Snyk Limited <[email protected]>" という行があることを確認します。

3. バイナリの完全性を検証します： 署名が有効であることを確認したら、ダウンロードしたバイナリがチェックサムと一致することを確認します：

   • Linux の場合（または coreutils を使用する macOS の場合）：

     grep agent-scan-<version>-<os>-<arch> sha256sums.txt.asc | sha256sum -c -
     

   • macOS の場合（デフォルトの shasum を使用）：

     grep agent-scan-<version>-<os>-<arch> sha256sums.txt.asc | shasum -a 256 -c -
     

   agent-scan-<version>-<os>-<arch>: OK と出力されます。

スキャナーの機能

Agent Scan v0.5.x

Agent Scan は、お使いのマシン上のエージェントコンポーネントのサプライチェーンをスキャンして調査するセキュリティスキャンツールです。プロンプトインジェクション、ツールポイズニング、有害なフロー、エージェントスキルの脆弱性など、一般的なセキュリティ上の脅威をスキャンします。

Agent Scan v0.6 以降

Agent Scan は、プロンプトインジェクション、信頼できないデータやプライベートデータの露出、破壊的な機能、悪意のあるエージェントスキルなどの脅威について、スコア付きのリスク指標を報告します。

Agent Scan には、単独または併用できる 2 つの主なモードがあります：

1. スキャンモード：CLI コマンド snyk-agent-scan は、現在のマシンをスキャンして、エージェントやスキル、MCP サーバーなどのエージェントコンポーネントを検出します。完了すると、ユーザーが確認できる包括的なレポートを出力します。

2. バックグラウンドモード（MDM）。Agent Scan は定期的にバックグラウンドでマシンをスキャンし、結果を Snyk Evo インスタンスに報告します。セキュリティチームは、これを利用して全社的なエージェントサプライチェーンを一元的に監視できます。設定するには、お問い合わせください。

仕組み

スキャン

Agent Scan は、ローカルのエージェント設定ファイルを調べて、エージェント、スキル、MCP サーバーを検出します。MCP の場合は、サーバーに接続してツールの説明を取得します。

MCP サーバーの対話型同意

⚠️ セキュリティに関する注意：MCP 設定をスキャンすると、設定内の stdio コマンドが実行されたり、リモート URL へのリクエストが送信されたりする可能性があります。承認する前に、接続先を必ず確認してください。

デフォルトでは、対話型実行時に、検出された MCP サーバーへ接続する前にユーザーの同意を求めます。この同意フローでは、次のことが行われます：

• サーバー名と、そのコマンドまたはリモート URL を表示します。環境変数とヘッダーは伏せられます
• 各サーバーについて個別に承認または拒否できます
• 明示的な許可なしに、信頼できない可能性があるサーバーへ接続することを防ぎます
• 拒否したサーバーは user_declined エラーとして記録されます（接続されることはありません）

ベストプラクティス：

• 承認する前に、コマンド、引数、リモート URL を注意深く確認してください
• 信頼できない、またはサードパーティ製の MCP 設定をスキャンする場合は、Agent Scan をサンドボックス（Docker、VM、または使い捨て環境）内で実行してください
• 見慣れない、または疑わしいコマンドを持つサーバーは拒否してください

非対話型環境（例：バックグラウンドスキャンやプッシュキーを使用したスキャン）では、リモート MCP サーバーを自動的に調査します。--dangerously-run-mcp-servers が設定されていない限り、stdio サーバーは起動しません。すべての MCP サーバーのコマンドとリモート URL を検証済みの、信頼できる環境でのみこのフラグを使用してください。

分析と検証

Agent Scan は、ローカルチェックと Agent Scan API を使用して、検出されたコンポーネントを検証します。分析に必要なコンポーネント情報として、エージェントアプリケーションの詳細、MCP サーバーの設定と署名、ツール名と説明、スキルの内容を送信します。設定値やテキストに含まれるシークレットは、送信前に秘匿化されます。

Agent Scan を使用することで、Snyk のAgent Scan 利用規約に同意したものとみなされます。

Agent Scan は、MCP ツール呼び出しの内容や結果など、使用状況データを保存または記録しません。

CLI パラメーター

すべてのフラグのリファレンスは、docs/cli-reference.mdにあります。ほとんどのコマンドとフラグは、v0.5.x と v0.6 以降で共通です。

共通コマンド

snyk-agent-scan scan [CONFIG_FILE...]       Scan MCP servers and skills (default)
snyk-agent-scan inspect [CONFIG_FILE...]    Inspect components without analysis
snyk-agent-scan help                        Display help

両方のバージョン系列で共通のオプション

これらのオプションは、v0.5.x と v0.6 以降の両方にあります。各コマンドへの適用可否については、CLI リファレンス全体で詳しく説明しています。

--storage-file FILE               Path to store scan state (default: ~/.mcp-scan)
--analysis-url URL                Analysis endpoint; the default API version depends on the CLI version
--verification-H HEADER           Additional analysis request header (repeatable)
--mcp-oauth-tokens-path PATH      OAuth tokens for protected remote MCP servers
--verbose                         Enable detailed logging
--print-errors                    Show error details and tracebacks
--print-full-descriptions         Show full entity descriptions without truncation
--json                            Emit JSON; the response schema depends on the CLI version
--skip-ssl-verify                 Disable TLS certificate verification
--skills / --no-skills            Include skills (default) or skip them
--scan-all-users                  Scan all readable user home directories
--show-analysis-results           Force synchronous analysis so results display for push-key scans
--ci                              Exit non-zero when findings or operational failures remain
--server-timeout SECONDS          MCP connection timeout (default: 10)
--suppress-mcpserver-io BOOL      Suppress stdio MCP server stderr
--dangerously-run-mcp-servers     Skip consent and contact all configured MCP servers
--control-server URL              Upload destination (repeatable)
--control-server-H HEADER         Header for the current control-server block
--control-identifier ID           Identifier for the current control-server block
--no-bootstrap                    Accepted compatibility no-op; does not change behavior
--checks-per-server NUM           Accepted compatibility no-op; does not change behavior

Agent Scan v0.5.x

警告

v0.5.x は非推奨化が予定されています。以下の例では、具体的な v0.5.x リリースとして v0.5.17 を指定しています。

--analysis-url URL                Defaults to the 2025-09-02 analysis API
--ignore-issues-codes CODES       Comma-separated E/W security finding codes and X failure codes to ignore in CI

v0.5.x は、問題コードによる検出結果と、パスをキーとする ScanPathResult JSON を出力します。v0.5.x CLI リファレンスと問題コードのリファレンスを参照してください。

Agent Scan v0.6 以降

--analysis-url URL                Defaults to the 2026-07-10 analysis API
--ignore-risks NAMES              Comma-separated risk names to omit from output and CI evaluation
--ignore-failure-codes CODES      Comma-separated X codes to omit from CI evaluation
--show-full-discovery             List every MCP entity and skill file instead of compact scan summaries

v0.6 以降は、スコア付きのリスク指標と scan_path_responses JSON を出力します。人が読みやすいスキャン出力はデフォルトで簡潔です。--show-full-discovery を指定すると、JSON や inspect の出力を変更せずに詳細表示できます。v0.6 以降の CLI リファレンス、リスクのリファレンス、失敗コードのリファレンスを参照してください。

例

# Scan all known MCP configs and agent skills
snyk-agent-scan

# Scan a specific config file or skill
snyk-agent-scan ~/custom/config.json
snyk-agent-scan ~/path/to/my/SKILL.md

# Inspect without security analysis
snyk-agent-scan inspect

# CI mode
snyk-agent-scan --ci --dangerously-run-mcp-servers

デモ

このリポジトリには、Agent Scan が報告する Model Context Protocol のセキュリティ上の検出結果を示す、脆弱な MCP サーバーが含まれています。

MCP のセキュリティ上の検出結果をデモする方法：

1. このリポジトリをクローンします
2. クローンした git リポジトリのルートディレクトリに、以下の内容で mcp.json 設定ファイルを作成します。

{
  "mcpServers": {
    "Demo MCP Server": {
      "type": "stdio",
      "command": "uv",
      "args": ["run", "mcp", "run", "demoserver/server.py"],
    },
  },
}

3. 適切なバージョンを実行します。

   • Agent Scan v0.5.x（問題コードの出力）：uvx --python 3.13 [email protected] scan mcp.json
   • Agent Scan v0.6 以降（リスクベースの出力）：uvx --python 3.13 snyk-agent-scan@latest scan mcp.json

注：mcp.json 設定ファイルを別の場所に置く場合は、MCP サーバー（demoserver/server.py）へのパスと、正しい mcp.json のファイルパスを指定して Agent Scan を実行する uvx コマンドを反映するよう、MCP サーバー設定内の args パスを調整してください。

Agent Scan への貢献は受け付けていません

現在、Agent Scan では外部からの貢献を受け付けていません。

ご提案、バグ報告、機能リクエストは、GitHub の issue でお寄せください。

開発環境のセットアップ

ソースから Agent Scan を実行するには、以下の手順に従ってください。

uv run pip install -e .
uv run -m src.agent_scan.cli

独自のプロジェクト／レジストリへの Agent Scan の結果の組み込み

独自のプロジェクトまたはレジストリに Agent Scan の結果を組み込みたい場合は、お問い合わせください。この目的に特化した API が用意されています。大規模なスキャンに標準の Agent Scan API を使用することは不正利用とみなされ、アカウントがブロックされます。

ドキュメント

• ドキュメントの目次 — 両方の CLI 系列のバージョン別ドキュメントです。
• CLI リファレンス — v0.5.x と v0.6 以降のコマンド、フラグ、オプション、環境変数です。
• スキャン — v0.5.x と v0.6 以降のスキャン動作と例です。
• JSON 出力 — v0.5.x のパスをキーとする出力と、v0.6 のレスポンススキーマです。
• 問題コード — v0.5.x の E* と W* のセキュリティ検出結果に関するリファレンスです。
• リスクのリファレンス — v0.6 のセキュリティリスク指標、スコア、証拠フィールドです。
• 失敗コード — v0.6 の検出、検査、分析における運用上の失敗です。

参考資料

• MCP-Scan のご紹介
• MCP のセキュリティ通知：ツールポイズニング攻撃
• WhatsApp MCP が悪用される
• MCP プロンプトインジェクション
• トキシックフロー分析
• スキルレポート

変更履歴

CHANGELOG.md をご覧ください。