MCPConfigCheck: Verifique a Configuração do Seu Servidor MCP para Riscos Conhecidos de Cadeia de Suprimentos

Seu config MCP pode estar a uma versão não fixada de um ataque à cadeia de suprimentos.

Se você está executando servidores MCP no Claude Desktop, Claude Code, Cursor ou VS Code, esse arquivo de configuração agora faz parte da sua superfície de ataque, e a maioria dos desenvolvedores nunca o verifica em relação a nada.

O padrão por trás dos incidentes recentes

Os incidentes MCPoison e ContextCrush seguiram o mesmo roteiro:

• Um config é aprovado uma vez, parecendo completamente benigno
• Ele é atualizado silenciosamente para uma versão maliciosa mais tarde
• Ou um servidor adulterado fornece instruções controladas por atacantes diretamente no contexto do agente de IA

Como os servidores MCP têm acesso direto à memória de trabalho do seu agente de IA e podem invocar ferramentas em seu nome, um servidor comprometido pode exfiltrar credenciais ou executar comandos sem nenhuma indicação visível de que algo está errado.

O que o MCPConfigCheck faz

Cole seu mcp.json ou claude_desktop_config.json e ele verifica instantaneamente por:

• Correspondências de incidentes conhecidos: cruzado com um catálogo mantido de incidentes de cadeia de suprimentos MCP divulgados
• Versões não fixadas: @latest ou nenhuma fixação de versão, que pode resolver silenciosamente para uma versão comprometida
• Acesso excessivamente amplo ao sistema de arquivos: acesso root (/) ou ao diretório home (~) que expõe chaves SSH, arquivos .env e credenciais
• Escopos npm não verificados: pacotes fora dos escopos de publicadores conhecidos, mais expostos a typosquatting
• Segredos codificados: chaves de API ou tokens em texto simples no seu config
• Executores de comando inesperados: qualquer coisa fora do conjunto padrão npx, node, python, uvx, docker

Cada servidor recebe uma classificação Crítica, Aviso ou Limpo com uma explicação em linguagem simples e uma correção.

Por que é seguro colar seu config real

Tudo é executado 100% do lado do cliente. O JSON é analisado localmente no seu navegador, o catálogo de ameaças é um conjunto de dados estático empacotado, e nenhuma solicitação de rede é feita. Nada sai do seu navegador, e se seu config tiver segredos em variáveis de ambiente, eles são mascarados na saída.

Sem instalação, sem cadastro, sem servidor.

Experimente

https://devencyclopedia.com/tools/mcpconfigcheck

Se você encontrar um incidente que o catálogo ainda não cobre, há um link de contato no site para relatá-lo para a próxima atualização.