Snyk Agent Scan

Entdecke und scanne Agent-Komponenten auf deinem Rechner auf Prompt-Injections
und Schwachstellen (einschließlich Agents, MCP-Servern, Skills).

Hinweis: Wir veröffentlichen kein npm-Paket für Agent Scan. Installiere es über uvx oder als eigenständige Binärdatei.

Hinweis: Die CLI-Ausgabe ist experimentell und kann sich ändern

Agent Scan v0.5.x (zur Einstellung geplant)

Die Rohausgabe dieser CLI — einschließlich Issue-Codes, Feldnamen, Schweregrad-Labels und Antwortstruktur — ist experimentell und kann sich zwischen Releases ohne Vorankündigung ändern. Wir empfehlen nicht, Produktions-Workflows zu erstellen, die von bestimmten CLI-Ausgabefeldern oder Issue-Codes abhängen.

Agent Scan v0.6 und später

Die Rohausgabe dieser CLI — einschließlich Risikoindikator-Namen, Scores, Feldnamen und Antwortstruktur — ist experimentell und kann sich zwischen Releases ohne Vorankündigung ändern. Wir empfehlen nicht, Produktions-Workflows zu erstellen, die von bestimmten CLI-Ausgabefeldern oder Risikonamen abhängen.

Wenn du ein Enterprise-Kunde bist, der Snyk zur Verwaltung von Agent-Sicherheitsrisiken im großen Maßstab einsetzt, spiegelt die CLI-Ausgabe möglicherweise nicht wider, was an die Evo-Plattform gesendet und dort angezeigt wird. Die zugrunde liegende Integration, Discovery und Risikobewertung, die Enterprise-Deployments antreibt, ist stabil und unterstützt — Änderungen werden gemäß den Standardpraktiken von Snyk-Produkten kommuniziert. Kontaktiere dein Account-Team für Deployment-Anleitungen.

NEU Lies unseren technischen Bericht über die aufkommenden Bedrohungen des Agent-Skill-Ökosystems, der zusammen mit Agent Scan 0.4 veröffentlicht wurde und Unterstützung für das Scannen von Agent-Skills hinzufügt.

Agent Scan v0.5.x-Ausgabe

[!WARNING] Agent Scan v0.5.x verwendet Issue-Code-Ausgabe. Diese CLI-Zeile ist zur Einstellung geplant.

Agent Scan v0.6 und spätere Ausgabe

Agent Scan hilft dir, alle installierten Agent-Komponenten (Harnesses, MCP-Server und Skills) zu entdecken und sie auf gängige Bedrohungen wie Prompt-Injections, den Umgang mit sensiblen Daten oder in natürlicher Sprache versteckte Malware-Payloads zu scannen. Ignoriere die Analyse von Skills mit --no-skills.

Sicherheitswarnung

⚠️ WICHTIG: Das Scannen von MCP-Konfigurationen führt die darin definierten Befehle aus.

Wenn Agent Scan eine MCP-Konfigurationsdatei scannt, startet es die stdio-MCP-Server, indem es die in der Konfiguration angegebenen Befehle und Argumente ausführt. Dies ist notwendig, um Tool-Beschreibungen abzurufen und eine Sicherheitsanalyse durchzuführen.

Empfehlungen:

• Führe Scans in einer Sandbox aus (Docker-Container, VM oder Wegwerf-Umgebung), wenn du nicht vertrauenswürdige oder MCP-Konfigurationen von Drittanbietern bewertest
• Prüfe die Zustimmungsaufforderung sorgfältig während interaktiver Scans; sie zeigt den genauen Befehl und die Argumente an, die für jeden Server ausgeführt werden
• Verwende --dangerously-run-mcp-servers nur in vertrauenswürdigen Umgebungen, in denen du alle MCP-Server-Befehle überprüft hast

Standardmäßig verlangt Agent Scan während interaktiver Läufe eine ausdrückliche Zustimmung des Benutzers (j/n), bevor jeder stdio-MCP-Server gestartet wird. Dies gibt dir die Kontrolle darüber, was auf deinem System ausgeführt wird.

Schnellstart

Wähle eine von zwei Möglichkeiten, Agent Scan auszuführen:

1. Führe das Python-Paket mit uvx aus gemäß den folgenden Anweisungen.
2. Lade eine eigenständige Binärdatei für deine Plattform von GitHub Releases herunter. Die Releases enthalten auch die SBOM, Prüfsummen, signierte Prüfsummen und Quellcode-Archive.

Bevor du eine der beiden Optionen verwendest:

1. Registriere dich bei Snyk und hole dir ein API-Token von https://app.snyk.io/account (API Token → KEY → zum Anzeigen klicken).
2. Setze das Token als Umgebungsvariable, bevor du einen Scan ausführst: ```bash export SNYK_TOKEN=your-api-token-here
   root@kitploit:~

Ausführen mit uvx

uv muss auf Ihrem System installiert sein. Wählen Sie die Anweisungen für Ihre CLI-Version.

Agent Scan v0.5.x

Die Beispiele verwenden v0.5.17 als konkrete v0.5.x-Version:```bash

Scan the whole machine

uvx [email protected]

Scan a specific MCP configuration

uvx [email protected] ~/.vscode/mcp.json

Scan a single agent skill

uvx [email protected] ~/path/to/my/SKILL.md

Scan all Claude skills

uvx [email protected] ~/.claude/skills

> [!WARNING]
> v0.5.x verwendet die Issue-Code-Ausgabe und die Analyse-API `2025-09-02`. Diese CLI-Zeile ist zur Abkündigung vorgesehen.

#### Agent Scan v0.6 und später```bash
# Scan the whole machine
uvx snyk-agent-scan@latest

# Scan a specific MCP configuration
uvx snyk-agent-scan@latest ~/.vscode/mcp.json

# Scan a single agent skill
uvx snyk-agent-scan@latest ~/path/to/my/SKILL.md

# Scan all Claude skills
uvx snyk-agent-scan@latest ~/.claude/skills

v0.6 und später verwenden die risikobasierte Ausgabe und die 2026-07-10-Analyse-API.

Beide Versionen scannen MCP-Server, Tools, Prompts, Ressourcen und Skills und entdecken automatisch unterstützte Agent-Konfigurationen wie Claude Code/Desktop, Cursor, Gemini CLI und Windsurf.

Ausführen mit einer eigenständigen Binärdatei

Laden Sie die Binärdatei für Ihr Betriebssystem und Ihre Architektur von der neuesten GitHub-Veröffentlichung herunter. Die Release-Seite bietet außerdem eine SBOM (sbom-<version>.json), Prüfsummendateien und von GitHub generierte Quellcode-Archive. Siehe Verifying Standalone Binaries, um Ihren Download zu verifizieren.

Highlights

• Automatische Erkennung von MCP-Konfigurationen, Agent-Tools, Skills
• Scannen von Claude, Cursor, GitHub Copilot, Windsurf, Gemini CLI, Amp, Amazon Q und anderen Agents.

Agent Scan v0.5.x

• Erkennt 15+ verschiedene Sicherheitsrisiken über MCP-Server und Agent-Skills hinweg:
  • MCP: Prompt Injection, Tool Poisoning, Tool Shadowing, Toxic Flows
  • Skills: Prompt Injection, Malware Payloads, Untrusted Content, Credential Handling, Hardcoded Secrets

Agent Scan v0.6 und später

• Erkennt 14 verschiedene Sicherheitsrisiken über MCP-Server und Agent-Skills hinweg:
  • MCP: Prompt injection, untrusted content, private data und destructive capabilities
  • Skills: prompt injection, suspicious downloads, malicious code, credential handling, secret detection und mehr

Unterstützte Agents und Fähigkeiten

Agent Scan entdeckt Agents und ihre Fähigkeiten (MCP-Server oder Skills) automatisch, wenn ihre Installationspfade existieren. Die folgende Tabelle zeigt, auf welchen Betriebssystemen jeder Agent gescannt wird.

• ✓: mindestens ein Pfad ist für diese Fähigkeit definiert.
• ✗: der Agent ist für dieses Betriebssystem aufgeführt, hat aber keine Pfade für diese Fähigkeit.
• —: dieser Agent ist für dieses Betriebssystem nicht enthalten.
• Skills Skills können mit --no-skills ignoriert werden

Erkennungsabdeckung nach Geltungsbereich

Die obige Matrix zeigt, auf welchen Betriebssystemen jeder Agent gescannt wird. Diese hier schlüsselt die Erkennung nach Konfigurationsgeltungsbereich und Komponententyp (Skills vs. MCP-Server) auf, kombiniert über Betriebssysteme hinweg. „Server" bedeutet MCP-Server.

Die vier Geltungsbereiche:

• System — maschinenweite / administrativ verwaltete / unternehmensweite Konfiguration, die für alle Benutzer gilt (z. B. managed-mcp.json, Dateien unter /etc, /Library/Application Support oder ProgramData).
• User — die Konfiguration im Home-Verzeichnis des Benutzers (gilt für alle seine Projekte).
• Project / workspace — Konfiguration, die auf ein geöffnetes Projekt oder einen Arbeitsbereich beschränkt ist.
• Extension / plugin — Komponenten, die in installierten Erweiterungen oder Plugins gebündelt sind.

Legende: ✓ erkannt · ✗ der Agent unterstützt dies, aber Agent Scan scannt es noch nicht · N/A der Agent hat keine solche Komponente in diesem Geltungsbereich.

† OpenClaw hat keine Aufzählung geöffneter Projekte: seine Projekt-/Workspace-Skills werden nur am festen Pfad ~/.openclaw/workspace/skills gefunden

‡ Amp speichert Projekt-/Workspace-Skills unter .agents/skills (und dem Kompatibilitätspfad .claude/skills); derzeit wird nur der benutzerbezogene Pfad ~/.config/agents/skills erkannt, sodass Projekt-Skills unterstützt, aber noch nicht gescannt werden.

§ GitHub Copilot umfasst die CLI und die Desktop-App, die sich das ~/.copilot-Home mit Copilot in VS Code teilen, und wird von diesem Home aus erkannt, nicht von einer VS Code-Installation. COPILOT_HOME-Verlagerungen werden beim Scannen Ihres eigenen Homes berücksichtigt. Der Projekt-Geltungsbereich umfasst die repo-relativen Dateien .mcp.json / .github/mcp.json und die Verzeichnisse .github/skills, .claude/skills und .agents/skills, für die an den Scan übergebenen Ordner und die Verzeichnisse, die Copilot in permissions-config.json aufgezeichnet hat, sowie deren übergeordnete Verzeichnisse. Der Plugin-Geltungsbereich umfasst ~/.copilot/installed-plugins, einschließlich plugin.json-Manifeste, die ihre MCP-Konfiguration verlagern oder zusätzliche Skills-Wurzeln deklarieren. Nicht gescannt: die sitzungsbezogenen Projekt-Wurzeln in session-state/*/workspace.yaml. Copilots benutzerbezogene Pfade sind auch unter VS Code aufgeführt, das dieselben Dateien liest.

Verifying Standalone Binaries

Wir verwenden GPG-Signierung der Release-Prüfsummendatei, um die Integrität und Authentizität der Distribution sicherzustellen.

Schritt-für-Schritt-Verifizierungsanleitung

1. Laden Sie die Release-Assets herunter: Laden Sie die Binärdatei für Ihre Plattform (z. B. agent-scan-<version>-<os>-<arch>) und die signierte Prüfsummendatei (sha256sums.txt.asc) von der GitHub Releases-Seite in dasselbe Verzeichnis herunter.

2. Verifizieren Sie die GPG-Signatur der Prüfsummendatei: Laden Sie den GPG public key in dasselbe Verzeichnis herunter und führen Sie dann aus: ```bash gpg --import snyk-code-signing-public.pgp gpg --verify sha256sums.txt.asc

   root@kitploit:~

Suchen Sie in der Ausgabe nach einer Zeile mit gpg: Good signature from "Snyk Limited <[email protected]>".

3. Überprüfen Sie die Integrität der Binärdatei: Nachdem Sie bestätigt haben, dass die Signatur gültig ist, prüfen Sie, ob Ihre heruntergeladene Binärdatei mit der Prüfsumme übereinstimmt:
   • Unter Linux (oder macOS mit coreutils):
     root@kitploit:~

     grep agent-scan-<version>-<os>-<arch> sha256sums.txt.asc | sha256sum -c -
     

   • Unter macOS (mit dem Standard-shasum):
     root@kitploit:~

     grep agent-scan-<version>-<os>-<arch> sha256sums.txt.asc | shasum -a 256 -c -
     

   Dies gibt agent-scan-<version>-<os>-<arch>: OK aus.

Scanner-Funktionen

Agent Scan v0.5.x

Agent Scan ist ein Sicherheitsscan-Tool, das sowohl die Lieferkette von Agent-Komponenten auf Ihrem Rechner scannt als auch inspiziert. Es sucht nach gängigen Sicherheitslücken wie Prompt-Injections, Tool-Poisoning, toxischen Flows oder Schwachstellen in Agent-Skills.

Agent Scan v0.6 und später

Agent Scan meldet bewertete Risikoindikatoren für Bedrohungen wie Prompt-Injection, Exposition gegenüber nicht vertrauenswürdigen oder privaten Daten, destruktive Fähigkeiten und bösartige Agent-Skills.

Agent Scan arbeitet in zwei Hauptmodi, die gemeinsam oder getrennt verwendet werden können:

1. Scan-Modus: Der CLI-Befehl snyk-agent-scan scannt den aktuellen Rechner nach Agents und Agent-Komponenten wie Skills und MCP-Servern. Nach Abschluss gibt er einen umfassenden Bericht zur Überprüfung durch den Benutzer aus.

2. Hintergrundmodus (MDM). Agent Scan scannt den Rechner in regelmäßigen Abständen im Hintergrund und meldet die Ergebnisse an eine Snyk Evo-Instanz. Dies kann von Sicherheitsteams genutzt werden, um die unternehmensweite Agent-Lieferkette an einem zentralen Ort zu überwachen. Um dies einzurichten, kontaktieren Sie uns bitte.

Funktionsweise

Scannen

Agent Scan durchsucht die Konfigurationsdateien Ihres lokalen Agents, um Agents, Skills und MCP-Server zu finden. Für MCP verbindet es sich mit Servern und ruft Tool-Beschreibungen ab.

Interaktive Zustimmung für MCP-Server

⚠️ Sicherheitshinweis: Das Scannen einer MCP-Konfiguration führt die darin definierten Befehle aus. Überprüfen Sie stets, was ausgeführt wird, bevor Sie zustimmen.

Standardmäßig fordert Agent Scan bei interaktiven Ausführungen vor dem Start jedes stdio-MCP-Servers die Zustimmung des Benutzers an. Dieser Zustimmungsablauf:

• Zeigt den Servernamen, den Befehl und die Umgebungsvariablen (redigiert) an, die ausgeführt werden
• Ermöglicht es Ihnen, jeden Server einzeln zu genehmigen oder abzulehnen
• Verhindert, dass potenziell nicht vertrauenswürdige Server ohne Ihre ausdrückliche Genehmigung ausgeführt werden
• Zeichnet abgelehnte Server mit einem user_declined-Fehler auf (sie werden nie gestartet)

Best Practices:

• Überprüfen Sie den Befehl und die Argumente sorgfältig, bevor Sie zustimmen
• Wenn Sie nicht vertrauenswürdige oder Drittanbieter-MCP-Konfigurationen scannen, führen Sie Agent Scan in einer Sandbox aus (Docker, VM oder Wegwerf-Umgebung)
• Lehnen Sie alle Server mit unbekannten oder verdächtigen Befehlen ab

Für nicht-interaktive Umgebungen (z. B. CI/CD-Pipelines) müssen Sie das Flag --dangerously-run-mcp-servers verwenden, um die Zustimmungsaufforderung zu umgehen und alle Server automatisch zu starten. Verwenden Sie dieses Flag nur in vertrauenswürdigen Umgebungen, in denen alle MCP-Server-Befehle verifiziert wurden.

Analyse und Validierung

Agent Scan validiert entdeckte Komponenten mit lokalen Prüfungen und der Agent Scan API. Es sendet die für die Analyse erforderlichen Komponenteninformationen, einschließlich Agent-Anwendungsdetails, MCP-Server-Konfigurationen und -Signaturen, Tool-Namen und -Beschreibungen sowie Skill-Inhalten. Geheimnisse in Konfigurationswerten und Text werden vor der Übertragung redigiert.

Durch die Verwendung von Agent Scan stimmen Sie den Snyk Nutzungsbedingungen für Agent Scan zu.

Agent Scan speichert oder protokolliert keine Nutzungsdaten, d. h. die Inhalte und Ergebnisse Ihrer MCP-Tool-Aufrufe.

CLI-Parameter

Die vollständige Flag-Referenz finden Sie in docs/cli-reference.md. Die meisten Befehle und Flags sind in v0.5.x und v0.6 und später gemeinsam.

Gemeinsame Befehle```text

snyk-agent-scan scan [CONFIG_FILE...] Scan MCP servers and skills (default) snyk-agent-scan inspect [CONFIG_FILE...] Inspect components without analysis snyk-agent-scan help Display help

### Von beiden Versionslinien gemeinsam genutzte Optionen

Diese Optionen existieren sowohl in v0.5.x als auch in v0.6 und später. Ihre Befehlsanwendbarkeit ist in der vollständigen CLI-Referenz detailliert beschrieben.```text
--storage-file FILE               Path to store scan state (default: ~/.mcp-scan)
--analysis-url URL                Analysis endpoint; the default API version depends on the CLI version
--verification-H HEADER           Additional analysis request header (repeatable)
--mcp-oauth-tokens-path PATH      OAuth tokens for protected remote MCP servers
--verbose                         Enable detailed logging
--print-errors                    Show error details and tracebacks
--print-full-descriptions         Show full entity descriptions without truncation
--json                            Emit JSON; the response schema depends on the CLI version
--skip-ssl-verify                 Disable TLS certificate verification
--skills / --no-skills            Include skills (default) or skip them
--scan-all-users                  Scan all readable user home directories
--show-analysis-results           Force synchronous analysis so results display for push-key scans
--ci                              Exit non-zero when findings or operational failures remain
--server-timeout SECONDS          MCP connection timeout (default: 10)
--suppress-mcpserver-io BOOL      Suppress stdio MCP server stderr
--dangerously-run-mcp-servers     Skip consent and start configured stdio MCP servers
--control-server URL              Upload destination (repeatable)
--control-server-H HEADER         Header for the current control-server block
--control-identifier ID           Identifier for the current control-server block
--no-bootstrap                    Accepted compatibility no-op; does not change behavior
--checks-per-server NUM           Accepted compatibility no-op; does not change behavior

Agent Scan v0.5.x

[!WARNING] v0.5.x ist für die Einstellung geplant. Die Beispiele pinnen v0.5.17 als konkrete v0.5.x-Version.```text --analysis-url URL Defaults to the 2025-09-02 analysis API --ignore-issues-codes CODES Comma-separated E/W security finding codes and X failure codes to ignore in CI

v0.5.x gibt Issue-Code-Findings und pfadbasierte `ScanPathResult`-JSON aus. Siehe die [v0.5.x CLI-Referenz](https://github.com/snyk/agent-scan/blob/main/docs/cli-reference.md#agent-scan-v05x) und die [Issue-Code-Referenz](https://github.com/snyk/agent-scan/blob/main/docs/issue-codes.md).

### Agent Scan v0.6 und später```text
--analysis-url URL                Defaults to the 2026-07-10 analysis API
--ignore-risks NAMES              Comma-separated risk names to omit from output and CI evaluation
--ignore-failure-codes CODES      Comma-separated X codes to omit from CI evaluation
--show-full-discovery             List every MCP entity and skill file instead of compact scan summaries

v0.6 und später geben bewertete Risikoindikatoren und scan_path_responses JSON aus. Die menschenlesbare Scan-Ausgabe ist standardmäßig kompakt; --show-full-discovery erweitert sie, ohne JSON- oder inspect-Ausgabe zu verändern. Siehe die CLI-Referenz für v0.6 und später, die Risiko-Referenz und die Fehlercode-Referenz.

Beispiele```bash

Scan all known MCP configs and agent skills

snyk-agent-scan

Scan a specific config file or skill

snyk-agent-scan ~/custom/config.json snyk-agent-scan ~/path/to/my/SKILL.md

Inspect without security analysis

snyk-agent-scan inspect

CI mode

snyk-agent-scan --ci --dangerously-run-mcp-servers

## Demo

Dieses Repository enthält einen verwundbaren MCP-Server, der Sicherheitsbefunde des Model Context Protocol demonstriert, die Agent Scan meldet.

Wie demonstriert man MCP-Sicherheitsbefunde?

1. Klonen Sie dieses Repository
2. Erstellen Sie eine `mcp.json`-Konfigurationsdatei im Stammverzeichnis des geklonten Git-Repositories mit folgendem Inhalt:```jsonc
{
  "mcpServers": {
    "Demo MCP Server": {
      "type": "stdio",
      "command": "uv",
      "args": ["run", "mcp", "run", "demoserver/server.py"],
    },
  },
}

3. Führen Sie die entsprechende Version aus:

   • Agent Scan v0.5.x (issue-code-Ausgabe): uvx --python 3.13 [email protected] scan mcp.json
   • Agent Scan v0.6 und später (risikobasierte Ausgabe): uvx --python 3.13 snyk-agent-scan@latest scan mcp.json

Hinweis: Wenn Sie die Konfigurationsdatei mcp.json an einem anderen Ort ablegen, passen Sie den args-Pfad innerhalb der MCP-Server-Konfiguration an, um den Pfad zum MCP-Server (demoserver/server.py) sowie den uvx-Befehl widerzuspiegeln, der Agent Scan mit dem korrekten Dateipfad zu mcp.json ausführt.

Agent Scan ist für Beiträge geschlossen

Agent Scan akzeptiert derzeit keine externen Beiträge.

Wir begrüßen Vorschläge, Fehlerberichte oder Funktionsanfragen als GitHub-Issues.

Entwicklungsumgebung einrichten

Um Agent Scan aus dem Quellcode auszuführen, befolgen Sie diese Schritte:```bash uv run pip install -e . uv run -m src.agent_scan.cli

## Agent-Scan-Ergebnisse in Ihr eigenes Projekt / Ihre eigene Registry aufnehmen

Wenn Sie Agent-Scan-Ergebnisse in Ihr eigenes Projekt oder Ihre eigene Registry aufnehmen möchten, [kontaktieren Sie uns bitte](https://evo.ai.snyk.io/#contact-us). Für diesen Zweck gibt es spezielle APIs. Die Verwendung der Standard-Agent-Scan-API für Scans in großem Umfang gilt als Missbrauch und führt zur Sperrung Ihres Kontos.

## Dokumentation

- [Dokumentationsindex](https://github.com/snyk/agent-scan/blob/main/docs/README.md) — Versionierte Dokumentation für beide CLI-Linien.
- [CLI-Referenz](https://github.com/snyk/agent-scan/blob/main/docs/cli-reference.md) — Befehle, Flags, Optionen und Umgebungsvariablen für v0.5.x und v0.6-and-later.
- [Scannen](https://github.com/snyk/agent-scan/blob/main/docs/scanning.md) — Scan-Verhalten und Beispiele für v0.5.x und v0.6-and-later.
- [JSON-Ausgabe](https://github.com/snyk/agent-scan/blob/main/docs/json-output.md) — Die pfadbasierte Ausgabe von v0.5.x und das Antwortschema von v0.6.
- [Issue-Codes](https://github.com/snyk/agent-scan/blob/main/docs/issue-codes.md) — Referenz zu Sicherheitsbefunden `E*` und `W*` in v0.5.x.
- [Risiko-Referenz](https://github.com/snyk/agent-scan/blob/main/docs/risks.md) — Sicherheitsrisikoindikatoren, Bewertungen und Evidenzfelder in v0.6.
- [Fehlercodes](https://github.com/snyk/agent-scan/blob/main/docs/failure-codes.md) — Betriebliche Fehler bei Discovery, Inspektion und Analyse in v0.6.

## Weiterführende Literatur

- [Introducing MCP-Scan](https://invariantlabs.ai/blog/introducing-mcp-scan)
- [MCP Security Notification Tool Poisoning Attacks](https://invariantlabs.ai/blog/mcp-security-notification-tool-poisoning-attacks)
- [WhatsApp MCP Exploited](https://invariantlabs.ai/blog/whatsapp-mcp-exploited)
- [MCP Prompt Injection](https://simonwillison.net/2025/Apr/9/mcp-prompt-injection/)
- [Toxic Flow Analysis](https://invariantlabs.ai/blog/toxic-flow-analysis)
- [Skills Report](https://github.com/snyk/agent-scan/blob/main/.github/reports/skills-report.pdf)

## Changelog

Siehe [CHANGELOG.md](https://github.com/snyk/agent-scan/blob/main/CHANGELOG.md).