mcp-security-inspector

mcp-security-inspector 检查 MCP 协议流量并标记风险

mcp-security-inspector，由Purpleroc开发，是一个Chrome扩展，审计模型上下文协议（MCP）集成并揭示协议级安全问题。该应用检查JSON-RPC流，并结合浏览器内协议调试器与AI辅助安全引擎生成测试用例和分析报告。它支持主动扫描和被动监控，mcp.json配置交换，以及SSE或可流式传输的HTTP传输。AI开发人员、安全研究人员和审计员获得了一个以浏览器为中心的协议审计层。

你实际上可以用它做什么任务？

该工具旨在暴露和练习MCP交互，以便团队可以观察实时协议流量，调用远程工具，并重放调用以进行分析。它的协议探索器允许用户读取资源并从流传输中获取提示，而检测框架生成候选攻击输入以供审查。对于调试和预部署检查，该应用程序帮助映射哪些工具调用和提示流程可能会改变代理行为。

它的安全发现实际操作性如何？

该应用程序使用大型语言模型创建安全测试用例并分类风险，然后发布包含严重性级别和修复建议的结构化报告。由于这些测试用例是模型生成的，团队应将其视为调查线索，而非确凿证据。在高风险场景中，生成的案例加速发现，但在做出执行或缓解决策之前需要人工验证。

它接受什么输入，如何适应开发者工作流程？

该扩展通过流传输连接到远程MCP端点，并与常用开发工具中使用的现有配置文件配合使用，支持mcp.json文件的导入和导出，以便与本地项目对齐。该设计使安全审查员能够针对开发人员使用的相同运行时清单进行扫描，因此该工具可以无缝融入现有的调试和CI工作流程，而无需重新编写集成描述符。

团队应该考虑哪些隐私和操作限制？

作为与远程MCP服务器的浏览器端桥接，该应用程序通过扩展路由协议流量以进行检查，并可以将项目转发到外部模型主机进行分析。团队在处理敏感提示或资源时必须考虑该数据流。该扩展仅在Chrome中运行，因此在其他桌面环境中进行审计和监控工作需要替代工具或基于Chrome的工作流程。

针对MCP集成商的实用审计层，关注人工审核

mcp-security-inspector是开发和安全团队需要MCP集成的协议级审计的实用选择。其AI辅助的发现加速了威胁发现，但应作为手动验证的起点，特别是在高风险输入上。与手动代码审核和操作测试一起使用该应用程序，以将生成的线索转化为经过验证的缓解措施和更强的部署控制。