AgentGuard — security checks for AI agents

AgentGuard — AI エージェント向けセキュリティチェック（MCP サーバー）

無料のオープンソースの単一バイナリ MCP サーバーです。あらゆる AI エージェント（Claude Desktop、Cursor、Claude Code、…）に、処理の流れの中でセキュリティチェックを提供します。

ツール	機能	データソース
scan_secrets	エージェントがテキスト／コード／差分をコミット、ログ記録、送信する前に、ハードコードされたシークレット（API キー、トークン、秘密鍵）を検出します。ローカルで実行され、値はマスクされます。	ローカル（正規表現＋エントロピー）
check_cve	特定のパッケージバージョンに既知の CVE があるかどうかを、深刻度と修正版とともに確認します。	OSV.dev（無料）
scan_dependencies	go.mod／package.json／requirements.txt をスキャンし、脆弱性のある固定バージョンの依存関係をすべて報告します。	OSV.dev（無料）

API キーもアカウントも不要で、テレメトリーもありません。無料の公開 OSV.dev API に問い合わせる CVE 照会を除き、すべてローカルで実行されます。

インストール

セットアップに合った方法を選んでください。どの方法でも同じ stdio MCP サーバーを利用できます。

Docker（Go ツールチェーンは不要）

docker run -i --rm ghcr.io/shuaicongxiaomai/agentguard:latest demo

MCP クライアントの設定（Claude Desktop／Cursor／Claude Code の mcpServers ブロック）：

{
  "mcpServers": {
    "agentguard": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "ghcr.io/shuaicongxiaomai/agentguard:latest"]
    }
  }
}

Go のインストール

go install github.com/shuaicongxiaomai/agentguard@latest

{ "mcpServers": { "agentguard": { "command": "agentguard" } } }

ビルド済みバイナリ

Releases ページからお使いの OS／アーキテクチャ向けのアーカイブをダウンロードして展開し、設定の command にバイナリの絶対パスを指定してください。

ソースからビルド

go build -o agentguard .          # append .exe on Windows

実行方法は 3 通り

1. demo — 設定不要で動作を確認：

agentguard demo

サンプル入力に対して 3 つのツールをすべて実行し、結果を出力します。

2. stdio（デフォルト） — ローカルでの使用。MCP クライアントがバイナリを起動します。 ポートは不要で、 クライアントがライフサイクルを管理します。上記の設定を使い、エージェントに次のように尋ねてください： 「これにシークレットが含まれていないかスキャンして」、「lodash 4.17.20 に脆弱性はある？」、 「package.json に脆弱性のある依存関係がないか確認して」。

3. serve — ポートで Streamable HTTP サービスを起動（ホスト型／リモートサーバー向け）：

agentguard serve :8080          # or set PORT=8080
# health:   GET  http://host:8080/healthz
# MCP URL:  POST http://host:8080/mcp   (clients connect to this URL)

ローカルで使用する場合は stdio を、ユーザーが何もインストールせず URL で接続するホスト型サーバーが必要な場合は serve を使用してください。

注意事項

• scan_secrets はローカルで実行され、シークレットの生の値は返さず、マスクされたプレビューのみを返します。
• scan_dependencies は 1 回の呼び出しにつき最大 200 件の依存関係を処理し、OSV に並行して問い合わせます。
• check_cve／scan_dependencies には OSV.dev へのネットワークアクセスが必要です。scan_secrets は完全にオフラインで動作します。

ライセンス

MIT。