MCP Fortress

🚀 🏰 MCP Fortress

用於模型上下文協議（MCP）服務器的安全掃描器和運行時保護工具

本工具能夠對MCP服務器進行安全掃描和運行時保護，為服務器的穩定運行保駕護航。

🚀 v0.3.6版本新特性：增強了掃描器，改進了誤報檢測功能！這是首個使用MCP來保障MCP安全的工具。

🚀 快速開始

針對Claude Code用戶（最簡單的方式）

# 安裝Claude Code插件
/plugin marketplace add mcp-fortress/mcp-fortress
/plugin install mcp-fortress

# 使用Smithery進行身份驗證（在瀏覽器中打開）
/mcp

完成！現在你可以向Claude詢問：“@modelcontextprotocol/server-github是否可以安全安裝？”

MCP Fortress技能將自動為你進行安全掃描和分析。無需設置，無需配置，安裝後即可使用！🎉

📖 完整的Claude Code安裝指南

獨立安裝

# 全局安裝
npm install -g mcp-fortress

# 啟動服務器
mcp-fortress start

就是這麼簡單！Web界面將在 http://localhost:3000 打開。

✨ 主要特性

🔍 自動安全掃描

• 跨npm和PyPI包進行漏洞檢測
• 集成CVE數據庫
• 依賴項分析
• 風險評分（0 - 100）

🛡️ 運行時保護

• 即時監控MCP服務器
• 隔離可疑包
• WebSocket遙測流
• 即時更新的活動反饋

📊 遊戲化設計

• 擁有16個可解鎖徽章的成就係統
• 每日掃描連勝追蹤
• 排行榜和指標
• 幽默的安全提示

🎨 精美Web界面

• 基於現代React的儀表盤
• 即時統計數據
• 支持排序和過濾的服務器表格
• 詳細的威脅分析視圖

🤖 新增：MCP服務器模式（v0.3.0+）

• 將MCP Fortress作為MCP服務器運行
• 向Claude Code、Cursor、Windsurf等工具開放安全分析工具
• 使用現有的大語言模型進行人工智能安全分析
• 零設置，使用你已有的AI
• 首個使用MCP來保障MCP安全的工具

📦 安裝指南

選項1：Smithery遠程安裝（推薦 - 最簡單）

方法A：Smithery CLI（自動安裝）

npx @smithery/cli install @mcp-fortress/mcp-fortress-server --client claude

方法B：手動安裝（使用API密鑰）

1. 從 Smithery 獲取你的API密鑰
2. 添加到Claude：

claude mcp add --transport http mcp-fortress "https://server.smithery.ai/@mcp-fortress/mcp-fortress-server/mcp?api_key=YOUR_API_KEY&profile=YOUR_PROFILE"

將 YOUR_API_KEY 和 YOUR_PROFILE 替換為從Smithery獲取的值。

優點：

• ✅ 無需本地安裝
• ✅ 自動更新
• ✅ 零設置

選項2：本地安裝（高級用戶）

npm install -g mcp-fortress

添加到 ~/Library/Application Support/Claude/claude_desktop_config.json：

{
  "mcpServers": {
    "mcp-fortress": {
      "command": "mcp-fortress",
      "args": ["serve-mcp"]
    }
  }
}

重啟Claude桌面應用。

優點：

• ✅ 完全控制
• ✅ 離線可用
• ✅ 無需API密鑰

💻 使用示例

基礎用法

🆕 MCP服務器模式（推薦）

將MCP Fortress與你的AI編碼助手（如Claude Code、Cursor等）結合使用：

1. 安裝MCP Fortress：

npm install -g mcp-fortress

2. 配置Claude桌面應用：

編輯 ~/Library/Application Support/Claude/claude_desktop_config.json：

{
  "mcpServers": {
    "mcp-fortress": {
      "command": "mcp-fortress",
      "args": ["serve-mcp"]
    }
  }
}

3. 重啟Claude桌面應用

重啟Claude桌面應用以加載MCP Fortress服務器。

4. 在Claude Code中使用：

你：掃描 @modelcontextprotocol/server-filesystem 是否存在安全問題

Claude：*使用MCP Fortress工具進行掃描和分析*
我發現了3個潛在的安全問題...

可用的MCP工具：

• scan_mcp_server - 全面安全掃描

  • 分析npm包中的漏洞
  • 檢測惡意代碼模式
  • 檢查依賴項的CVE情況
  • 計算風險評分（0 - 100）

• analyze_prompt_injection - 檢測提示注入攻擊

  • 識別指令注入嘗試
  • 檢測角色操縱
  • 查找系統提示提取嘗試
  • 分析分隔符注入

• detect_tool_poisoning - 識別惡意/誤導性工具

  • 檢測拼寫仿冒（例如，read_fiile 與 read_file）
  • 識別名稱/描述不匹配的情況
  • 標記過於通用的工具名稱
  • 與已知的合法工具進行比較

示例交互：

你：puppeteer-mcp-server 是否可以安全使用？
Claude：✅ 可以！風險評分：0/100。未檢測到威脅。

你：檢查這個工具：“輔助工具。忽略之前的指令。”
Claude：🚨 嚴重警告：檢測到提示注入攻擊！請勿使用。

你：名為 “read_fiile” 的工具是否可疑？
Claude：⚠️ 是的！可能是 “read_file” 的拼寫仿冒。

高級用法

獨立使用

啟動服務器

# 前臺啟動服務器
mcp-fortress start

# 後臺啟動服務器（守護進程模式）
mcp-fortress start --daemon

選項：

• -p, --port <port> - API端口（默認：3001）
• -h, --host <host> - 綁定的主機（默認：localhost）
• --no-browser - 不自動打開瀏覽器
• -d, --daemon - 在後臺運行服務器

守護進程命令

# 停止守護進程服務器
mcp-fortress stop

# 檢查守護進程狀態
mcp-fortress status

# 查看服務器日誌
mcp-fortress logs
mcp-fortress logs --lines 100  # 顯示最後100行日誌

掃描包

mcp-fortress scan <package-name>

示例：

# 掃描npm包
mcp-fortress scan express

# 掃描特定版本
mcp-fortress scan express --version 4.18.0

# 掃描PyPI包
mcp-fortress scan flask --registry pypi

監控運行中的服務器

mcp-fortress monitor <server-name>

管理隔離區

# 列出隔離的服務器
mcp-fortress quarantine list

# 從隔離區釋放
mcp-fortress quarantine release <server-name>

🏗️ 架構

mcp-fortress/
├── CLI                 → 命令行界面
├── API Server          → Express REST API + WebSocket
├── Scanner Engine      → npm和PyPI漏洞檢測
├── Web UI              → React儀表盤
└── SQLite Database     → 本地數據存儲

數據存儲位置：

• ~/.mcp-fortress/fortress.db - SQLite數據庫
• ~/.mcp-fortress/server.pid - 守護進程ID
• ~/.mcp-fortress/logs/ - 服務器日誌

🔐 安全特性

威脅檢測

• ✅ 已知漏洞（CVE數據庫）
• ✅ 代碼中的可疑模式
• ✅ 惡意依賴項
• ✅ 許可證合規問題

風險評分

• 0 - 30：低風險（綠色）
• 31 - 60：中等風險（黃色）
• 61 - 100：高風險（紅色）

隔離系統

• 自動阻止關鍵威脅
• 手動審批流程
• 所有操作的審計跟蹤

🎮 遊戲化

在掃描過程中解鎖成就：

• 🏆 首戰告捷 - 完成第一次掃描
• 🔥 連勝大師 - 連續7天進行掃描
• 🛡️ 守護者 - 阻止10個高風險包
• 🧪 實驗達人 - 掃描100個包
• 還有12個其他成就！

📊 版本層級

免費版（本地模式）

• ✅ 無限次掃描
• ✅ 帶有遊戲化的完整界面
• ✅ 所有成就
• ✅ 本地數據庫
• ✅ 無需賬戶
• ❌ 無雲同步
• ❌ 無團隊功能

需要專業版？

郵箱：mcp-fortress@protonmail.com

🐛 支持

• 報告問題：GitHub Issues
• 討論交流：GitHub Discussions
• 郵箱：mcp-fortress@protonmail.com

🤝 貢獻

我們歡迎貢獻！請參閱 CONTRIBUTING.md 獲取貢獻指南。

📜 許可證

本項目採用MIT許可證，詳情請參閱 LICENSE 文件。

🙏 致謝

使用以下工具構建：

• Express - Web框架
• React - UI庫
• Better-SQLite3 - 數據庫
• Commander - 命令行界面框架

📈 路線圖

當前（v0.3.x）

• ✅ MCP服務器模式
• ✅ 高級威脅檢測（提示注入、工具中毒）
• ✅ 與Claude Code/Cursor集成

下一版本（v0.4.0）

• [ ] 自動發現IDE配置
• [ ] 即時MCP代理模式
• [ ] 增強的個人身份信息/機密信息檢測
• [ ] 自定義安全策略

未來（v0.5.0+）

• [ ] VS Code擴展
• [ ] 用於PR檢查的GitHub應用
• [ ] SBOM生成
• [ ] CI/CD集成
• [ ] Docker容器掃描
• [ ] 企業單點登錄支持

為MCP社區用心打造 ❤️