Cola o tools/list de um servidor MCP e audita a qualidade do catálogo: custo em contexto, annotations, instructions e conformidade com o registo oficial. Isto não é um auditor de segurança de acesso nem um depurador em direto — vê a ajuda para saberes o que é isto e o que não é.
Guia de utilização
O que isto verifica
Cola a resposta tools/list de um servidor MCP —o teu, ou qualquer um— e verifica a qualidade do catálogo: descrições e annotations em falta, tools cujo nome sugere que escrevem ou apagam mas as suas annotations dizem o contrário, custo em contexto por tool, se o campo instructions do catálogo está definido e cabe abaixo de ~2 KB, e se alguma description esconde uma instrução para o modelo (tool poisoning). Nada sai do teu navegador.
Manifesto do registo (opcional)
Cola também o server.json e verifica os próprios limites do registo oficial do MCP (comprimento dos campos, o padrão do namespace) ANTES de ele rejeitar a tua publicação com um 422 ou um 403 —os dois erros que já sofremos ao publicar os nossos próprios pacotes. Adiciona o package.json para apanhar também um desajuste de versão entre os dois, que o registo rejeita com um 400 depois de já teres autenticado.
Tool poisoning
Uma tool pode trazer uma instrução escondida na sua própria description: invisível para ti —que só vês o nome— mas visível NA ÍNTEGRA para o modelo (caso real: Invariant Labs, "MCP Tool Poisoning Attacks", abril de 2025 — uma tool add com uma etiqueta <IMPORTANT> que pedia para ler ~/.ssh/id_rsa e infiltrá-lo num parâmetro). Só é marcado «crítico» quando a MESMA description pede para ler algo sensível E enviá-lo por algum canal — documentar o padrão como exemplo, ou mencionar um caminho sem pedir para o enviar, não conta. Motor de @seguridad, não desta tool.
Rug pull: o catálogo que muda depois
Um servidor pode mostrar um catálogo inocente no dia em que o aprovas e alterá-lo depois: o protocolo permite anunciar um catálogo novo a quente, e muitos clientes nunca mais te perguntam. Cola nos campos opcionais o tools/list que aprovaste e é comparado com o de hoje: tools novas ou removidas, descrições que agora trazem instruções escondidas, parâmetros novos (por onde sairiam os dados) e annotations que deixaram de dizer «só leitura».
O que isto NÃO verifica
Isto audita o DESIGN do catálogo, não a segurança de acesso. Para «que servidores MCP este repositório confia e o que podem fazer?» usa o Auditor de ficheiros de agente. Para depurar o protocolo em direto, usa o @modelcontextprotocol/inspector oficial da Anthropic. Nomes de tools confundíveis entre si e padrões de código inseguro na FONTE do servidor ainda não são verificados.
