Pega el tools/list de un servidor MCP y audita la calidad de su catálogo: coste en contexto, annotations, instructions y cumplimiento del registro oficial. No es un auditor de seguridad de acceso ni un depurador en vivo — mira la ayuda para saber qué es esto y qué no.
Guía de uso
Qué comprueba
Pega la respuesta tools/list de un servidor MCP —el tuyo, o cualquiera— y comprueba la calidad del catálogo: descripciones y annotations que faltan, tools cuyo nombre sugiere que escriben o borran pero sus annotations dicen lo contrario, coste en contexto por tool, si el campo instructions del catálogo está puesto y cabe bajo ~2 KB, y si alguna description esconde una instrucción para el modelo (tool poisoning). Nada sale del navegador.
Manifiesto del registro (opcional)
Pega también server.json y comprueba los propios límites del registro oficial de MCP (longitud de campos, el patrón del namespace) ANTES de que rechace tu publicación con un 422 o un 403 —los dos errores que ya sufrimos publicando nuestros propios paquetes. Añade package.json para cazar además un desajuste de versión entre los dos, que el registro rechaza con un 400 después de que ya te hayas autenticado.
Tool poisoning
Una tool puede llevar una instrucción escondida en su propia description: invisible para ti —que solo ves el nombre— pero visible ENTERA para el modelo (caso real: Invariant Labs, "MCP Tool Poisoning Attacks", abril 2025 — una tool add con una etiqueta <IMPORTANT> que pedía leer ~/.ssh/id_rsa y colarlo en un parámetro). Se marca «crítico» solo cuando la MISMA description pide leer algo sensible Y mandarlo por algún canal — documentar el patrón como ejemplo, o mencionar una ruta sin pedir enviarla, no cuenta. Motor de @seguridad, no de esta tool.
Lo que esto NO comprueba
Esto audita el DISEÑO del catálogo, no la seguridad de acceso. Para «¿qué servidores MCP confía este repositorio y qué pueden hacer?» usa el Auditor de ficheros de agente. Para depurar el protocolo en vivo, usa el @modelcontextprotocol/inspector oficial de Anthropic. Nombres de tools confundibles entre sí y patrones de código inseguro en el FUENTE del servidor todavía no se comprueban.
