Colle le tools/list d'un serveur MCP et audite la qualité de son catalogue : coût en contexte, annotations, instructions et conformité avec le registre officiel. Ce n'est pas un auditeur de sécurité d'accès ni un débogueur en direct — regarde l'aide pour savoir ce que c'est et ce que ce n'est pas.
Guide d'utilisation
Ce que ça vérifie
Colle la réponse tools/list d'un serveur MCP —le tien, ou n'importe lequel— et vérifie la qualité du catalogue : descriptions et annotations manquantes, tools dont le nom suggère qu'ils écrivent ou suppriment alors que leurs annotations disent le contraire, coût en contexte par tool, si le champ instructions du catalogue est renseigné et tient sous ~2 Ko, et si une description cache une instruction pour le modèle (tool poisoning). Rien ne quitte ton navigateur.
Manifeste du registre (optionnel)
Colle aussi server.json et vérifie les propres limites du registre officiel MCP (longueur des champs, le motif du namespace) AVANT qu'il ne rejette ta publication avec un 422 ou un 403 —les deux erreurs qu'on a déjà subies en publiant nos propres paquets. Ajoute package.json pour aussi repérer un décalage de version entre les deux, que le registre rejette avec un 400 après que tu t'es déjà authentifié.
Tool poisoning
Une tool peut porter une instruction cachée dans sa propre description : invisible pour toi —tu ne vois que le nom— mais visible EN ENTIER pour le modèle (cas réel : Invariant Labs, "MCP Tool Poisoning Attacks", avril 2025 — une tool add avec une balise <IMPORTANT> demandant de lire ~/.ssh/id_rsa et de le glisser dans un paramètre). C'est marqué « critique » seulement quand la MÊME description demande de lire quelque chose de sensible ET de l'envoyer par un canal — documenter le motif comme exemple, ou mentionner un chemin sans demander de l'envoyer, ne compte pas. Moteur de @seguridad, pas de cette tool.
Rug pull : le catalogue qui change ensuite
Un serveur peut montrer un catalogue inoffensif le jour où tu l'approuves et le changer ensuite : le protocole permet d'annoncer un nouveau catalogue à chaud, et beaucoup de clients ne te redemandent jamais. Colle dans les champs optionnels le tools/list que tu as approuvé et il est comparé à celui d'aujourd'hui : outils ajoutés ou supprimés, descriptions qui contiennent désormais des instructions cachées, nouveaux paramètres (par où les données sortiraient) et annotations qui ne disent plus « lecture seule ».
Ce que ça NE vérifie PAS
Ceci audite la CONCEPTION du catalogue, pas la sécurité d'accès. Pour « quels serveurs MCP ce dépôt fait-il confiance, et que peuvent-ils faire ? » utilise l'Auditeur de fichiers d'agent. Pour déboguer le protocole en direct, utilise le @modelcontextprotocol/inspector officiel d'Anthropic. Les noms de tools confondables entre eux et les motifs de code non sûrs dans la SOURCE du serveur ne sont pas encore vérifiés.
