mcp-guardian es una herramienta de código abierto, escrita en Python, que revisa la configuración de los servidores MCP (Model Context Protocol) que se conectan a agentes de IA y avisa de tres tipos de riesgo: inyección de instrucciones en las descripciones de herramientas, cambios silenciosos en esas descripciones y herramientas que devuelven contenido externo al modelo sin filtrar. Cada hallazgo lleva una puntuación CVSS y el resultado global es PASS o FAIL. El proyecto, publicado en GitHub por el usuario sopitacasera, es muy reciente: su repositorio tiene dos commits y su última actualización es del 2 de noviembre de 2026.
Las claves de mcp-guardian en 30 segundos
- Analiza archivos de configuración MCP de Claude Desktop, Cursor o cualquier JSON con una lista de herramientas.
- Busca inyección de instrucciones, envenenamiento de herramientas y canales de retorno sin filtrar.
- Cada hallazgo incluye severidad y puntuación CVSS, con informes en JSON y HTML.
- Tiene modo CI que falla el pipeline con hallazgos altos o críticos.
- Es un proyecto muy joven, con licencia Apache 2.0 según su repositorio.
El problema que intenta cubrir es real. Muchos equipos añaden servidores MCP a sus agentes igual que antes instalaban extensiones del navegador: sin revisar lo que traen. Y en MCP el riesgo empieza antes de que el agente ejecute nada, porque el modelo lee las descripciones de cada herramienta para decidir cómo usarlas. Si esa descripción contiene instrucciones ocultas, el agente puede obedecerlas. La firma suiza Invariant Labs, que Snyk compró en junio de 2025, fue de las primeras en documentar ataques como el «tool poisoning» y el «rug pull» de MCP.
Qué detecta
Según su documentación, mcp-guardian revisa tres vectores:
- Inyección de instrucciones (prompt injection): busca en las descripciones y en los esquemas de entrada patrones asociados a ataques conocidos, como intentos de anular instrucciones, jailbreaks, órdenes para extraer credenciales o marcado al estilo XSS. Su autor le asigna un CVSS de 9,1.
- Envenenamiento de herramientas (tool poisoning): guarda una línea base con el hash SHA-256 de cada descripción y avisa si un servidor la modifica después de que el usuario la aprobara, el llamado rug pull. CVSS 8,1.
- Canal de retorno (return channel): señala herramientas como fetch, browse o read_file que devuelven contenido externo al modelo sin filtrarlo, la vía por la que una web o un fichero pueden colar instrucciones o extraer contexto del agente. CVSS 5,9.
El tercer punto es el que su autor presenta como diferencial y asegura no haberlo encontrado en otras herramientas públicas. Hay que leerlo con matices: según el README, el análisis se basa en los indicadores de configuración y en el tipo de herramienta, es decir, es heurístico. Detectar que una herramienta se llama fetch y no filtra su salida es útil como alerta, pero no sustituye a revisar cómo trata el agente ese contenido. El README también compara la herramienta con Promptfoo y MCP-Scan y destaca que es independiente de cualquier proveedor.
Cómo usarlo
Se instala con pip o se ejecuta sin instalar con uvx:
pip install mcp-guardian
# Sin instalar
uvx mcp-guardian scan ~/.config/claude/claude_desktop_config.json
# Informe HTML y JSON
mcp-guardian scan config.json --html report.html --output report.json
# Modo CI: sale con código 1 si hay hallazgos HIGH o CRITICAL
mcp-guardian scan config.json --fail-on highLenguaje del código: PHP (php)Admite el archivo de configuración de Claude Desktop (en macOS, ~/Library/Application Support/Claude/claude_desktop_config.json), el .cursor/mcp.json de Cursor y cualquier JSON con una lista de herramientas. También ofrece un SDK de Python para integrarlo en otros procesos y un ejemplo para GitHub Actions:
- name: Scan MCP configuration
run: |
pip install mcp-guardian
mcp-guardian scan .cursor/mcp.json --fail-on highAntes de confiar en él
Un escáner de seguridad también es código que se ejecuta con acceso a tus configuraciones, así que conviene aplicarle el mismo criterio que a cualquier MCP. Con dos commits, mcp-guardian todavía no tiene historial ni comunidad que respalde sus resultados, y las puntuaciones CVSS son las que asigna su autor a cada categoría, no a vulnerabilidades concretas registradas. También hay una discrepancia: el anuncio que circula en redes habla de licencia MIT, mientras que el repositorio indica Apache 2.0. Lo sensato es revisar el código antes de usarlo, ejecutarlo en un entorno aislado y tomarlo como una capa más, junto a otras medidas como limitar permisos de los agentes o poner frenos en CI como los que propone brakes para GitHub.
Preguntas frecuentes
¿Qué es mcp-guardian?
Un escáner de código abierto en Python que revisa servidores MCP en busca de inyección de instrucciones, envenenamiento de herramientas y canales de retorno sin filtrar.
¿Qué es el tool poisoning en MCP?
Un ataque en el que la descripción de una herramienta incluye instrucciones maliciosas o cambia después de ser aprobada para manipular al agente.
¿Se puede usar en CI?
Sí. Con la opción –fail-on high devuelve código de salida 1 si encuentra hallazgos altos o críticos, y tiene un ejemplo para GitHub Actions.
¿Qué licencia tiene?
El repositorio indica Apache 2.0, aunque algunas publicaciones sobre el proyecto mencionan MIT.
Fuentes:
