MCP-Scan

Overview

MCP-Scan audits the Model Context Protocol (MCP) integrations wired into AI clients like Claude Desktop, Cursor, and Windsurf. It reads the client’s MCP config, connects to each configured server, and inspects the tool/resource descriptions those servers advertise — the same descriptions an agent reads verbatim as part of its context. Because a malicious or compromised MCP server can hide instructions inside a tool’s description (“tool poisoning”), silently swap a tool’s behavior after approval (“rug pull”), or shadow a trusted tool name, this class of risk is invisible to a human just glancing at a UI. MCP-Scan is the standard first check before trusting a newly-added MCP server.

Installation & Usage

Run directly with uvx, no persistent install needed

uvx mcp-scan@latest

Scan a specific client config instead of auto-discovering

uvx mcp-scan@latest scan --config ~/.config/Claude/claude_desktop_config.json

Scan all MCP configs found on the system

uvx mcp-scan@latest scan

Continuous “proxy” mode — inspects tool calls live as the agent runs

uvx mcp-scan@latest proxy

Reading Results

JSON output for CI pipelines / diffing against a known-good baseline

uvx mcp-scan@latest scan --json > scan-results.json

Whitelist a specific server/tool after manual review

uvx mcp-scan@latest whitelist "filesystem-server" "read_file"

Tips

• Run MCP-Scan again after any MCP server update — a “rug pull” attack relies on a tool description changing after you’ve already approved it, so a diff against a prior scan matters more than a single point-in-time check.
• Cross-origin (“toxic flow”) findings flag when one server’s tool output could feed into another server’s tool input in a way that lets untrusted data cross a trust boundary — take these seriously even if each server individually looks clean.
• Pair with proxy mode during an actual agent session to catch injection attempts in live tool responses, not just static tool descriptions.

usage: mcp-scan [COMMAND] [OPTIONS]

commands:
  scan          scan configured MCP servers for known clients
  proxy         run as a live proxy, inspecting tool calls/results in transit
  whitelist     mark a server or tool as reviewed/trusted
  inspect       dump raw tool/resource descriptions without risk analysis

scan options:
  --config PATH       path to a specific MCP client config file
  --server NAME        limit scan to a single named server
  --json               machine-readable output
  --checks LIST        limit checks (prompt_injection,tool_poisoning,
                        shadowing,cross_origin,rug_pull)
  --storage-file PATH  baseline file for detecting changes between scans

global options:
  -v, --verbose        verbose logging
  --version             show version

Vue d’ensemble

MCP-Scan audite les intégrations Model Context Protocol (MCP) connectées à des clients IA comme Claude Desktop, Cursor ou Windsurf. Il lit la configuration MCP du client, se connecte à chaque serveur configuré, et inspecte les descriptions d’outils/ressources que ces serveurs annoncent, les mêmes descriptions qu’un agent lit telles quelles dans son contexte. Comme un serveur MCP malveillant ou compromis peut dissimuler des instructions dans la description d’un outil (« empoisonnement d’outil »), changer discrètement le comportement d’un outil après approbation (« rug pull »), ou usurper le nom d’un outil de confiance (shadowing), ce type de risque est invisible pour un humain qui se contente de survoler l’interface. MCP-Scan est le premier contrôle standard avant de faire confiance à un nouveau serveur MCP.

Installation et utilisation

# Lancer directement avec uvx, sans installation persistante
uvx mcp-scan@latest

# Scanner la configuration d'un client spécifique plutôt que la découverte automatique
uvx mcp-scan@latest scan --config ~/.config/Claude/claude_desktop_config.json

# Scanner toutes les configurations MCP trouvées sur le système
uvx mcp-scan@latest scan

# Mode "proxy" continu : inspecte les appels d'outils en direct pendant que l'agent tourne
uvx mcp-scan@latest proxy

Lecture des résultats

# Sortie JSON pour les pipelines CI / comparaison avec une baseline saine connue
uvx mcp-scan@latest scan --json > scan-results.json

# Mettre un serveur/outil en liste blanche après revue manuelle
uvx mcp-scan@latest whitelist "filesystem-server" "read_file"

Conseils

• Relancer MCP-Scan après chaque mise à jour de serveur MCP : une attaque « rug pull » repose sur le changement de la description d’un outil après qu’elle a déjà été approuvée, donc une comparaison avec un scan précédent compte plus qu’un contrôle ponctuel.
• Les résultats cross-origin (« toxic flow ») signalent le cas où la sortie d’outil d’un serveur pourrait alimenter l’entrée d’outil d’un autre serveur d’une manière qui fait franchir une frontière de confiance à des données non fiables. À prendre au sérieux même si chaque serveur pris isolément semble sain.
• Combiner avec le mode proxy pendant une session d’agent réelle pour repérer les tentatives d’injection dans les réponses d’outils en direct, pas seulement dans les descriptions d’outils statiques.

usage: mcp-scan [COMMAND] [OPTIONS]

commands:
  scan          scan configured MCP servers for known clients
  proxy         run as a live proxy, inspecting tool calls/results in transit
  whitelist     mark a server or tool as reviewed/trusted
  inspect       dump raw tool/resource descriptions without risk analysis

scan options:
  --config PATH       path to a specific MCP client config file
  --server NAME        limit scan to a single named server
  --json               machine-readable output
  --checks LIST        limit checks (prompt_injection,tool_poisoning,
                        shadowing,cross_origin,rug_pull)
  --storage-file PATH  baseline file for detecting changes between scans

global options:
  -v, --verbose        verbose logging
  --version             show version