Was ist Snyk Agent Scan?
Agent Scan, früher mcp-scan von Invariant Labs und heute von Snyk gepflegt, findet die Agentenkomponenten auf einem Rechner und prüft sie auf Risiken in der Lieferkette. Es entdeckt Konfigurationen für Claude Code, Claude Desktop, Cursor, GitHub Copilot, Windsurf, Gemini CLI, Amp, OpenClaw und andere, auf System-, Benutzer-, Projekt- und Plugin-Ebene, und untersucht dann deren MCP-Server, Tools, Prompts, Ressourcen und Skills.
Es sucht nach Prompt Injection in Tool-Beschreibungen und Skills, Tool Poisoning, Tool Shadowing (das Tool eines Servers überschreibt das eines anderen), Toxic Flows (Kombinationen von Tools, über die Daten abfließen könnten), fest einprogrammierten Secrets und Malware-Payloads, die in Skill-Dateien in natürlicher Sprache versteckt sind. Die Analyse nutzt lokale Prüfungen plus Snyks Agent Scan API: Tool-Namen und -Beschreibungen, MCP-Konfigurationen und Skill-Inhalte werden an Snyk geschickt, nachdem Secrets geschwärzt wurden. Ein Snyk-Konto und ein API-Token sind nötig.
Um Tool-Beschreibungen zu lesen, startet es stdio-MCP-Server, indem es ihre konfigurierten Befehle ausführt, weshalb das README empfiehlt, nicht vertrauenswürdige Konfigurationen in einer Sandbox zu scannen; interaktive Läufe fragen für jeden Server um Zustimmung. Es wird mit uvx snyk-agent-scan oder als eigenständiges Binary mit SBOM und signierten Prüfsummen installiert. Es steht unter Apache 2.0; v0.6.9 erschien am 20. Oktober 2026, und das README warnt, dass die CLI-Ausgabe noch experimentell ist.
Lohnt sich Snyk Agent Scan?
Agent Scan deckt den Teil der Agentensicherheit ab, den Red-Teaming-Werkzeuge verpassen: die Tools selbst. Ein MCP-Server oder Skill kann in seiner Beschreibung Anweisungen tragen, die das Modell liest und befolgt, und nur wenige offene Scanner suchen danach über alle Clients auf einem Rechner hinweg. Version 0.6 meldet 14 benannte Risiken, von Prompt Injection in Skill-Anweisungen bis zu verdächtigen Download-URLs und fest einprogrammierten Secrets.
Die Erkennung ist gründlich. Die Matrix im README verfolgt System-, Benutzer-, Projekt- und Plugin-Ebenen pro Client, einschließlich des gemeinsamen ~/.copilot-Verzeichnisses von Copilot und der Plugins von Claude Desktop, und vermerkt Lücken, etwa dass Skills auf Projektebene in Amp noch nicht gescannt werden. Eigenständige Binaries kommen mit SBOMs und GPG-signierten Prüfsummen, was zu einem Lieferketten-Werkzeug passt.
Die Vorbehalte sind real. Die Analyse ist nicht lokal: Tool-Beschreibungen, MCP-Konfigurationen und Skill-Inhalte gehen an Snyks API, mit geschwärzten Secrets, und laut README werden die Inhalte von Tool-Aufrufen nicht gespeichert. Interaktive Scans fragen, bevor sie einen stdio-Server starten, aber einen zu starten heißt, seinen Befehl auszuführen, eine nicht vertrauenswürdige Konfiguration ist also in einem Container besser aufgehoben. Die Linie 0.5, die an Stellen im README noch gepinnt ist, nutzt eine ältere Analyse-API und soll abgekündigt werden.
Das Ausgabeformat ist als experimentell gekennzeichnet, und Snyk rät davon ab, CI-Schranken auf bestimmten Risikonamen aufzubauen; Enterprise-Kunden wird gesagt, dass die CLI-Ausgabe von dem abweichen kann, was Snyk Evo anzeigt. Diese Trennung zeigt, wohin das Produkt geht. Die CLI ist der kostenlose Sensor, und die verwaltete Flottenansicht über Evo ist das, was Snyk verkauft.
Wo es sich lohnt
Eine Security-Engineerin in einem Unternehmen mit 300 Entwicklern, das Claude Code und Cursor erlaubt
Herausfinden, welche MCP-Server und Skills Entwickler installiert haben und welche bösartig aussehen
Führ uvx snyk-agent-scan@latest auf einer Stichprobe von Rechnern aus oder nutze den Hintergrundmodus, der für die ganze Flotte an Snyk Evo berichtet; Preise für Evo gibt es auf Anfrage.
Ein Entwickler, der gleich einen MCP-Server eines Drittanbieters installieren will
Seine Tool-Beschreibungen auf eingeschleuste Anweisungen prüfen, bevor er ihm vertraut
Richte den Scanner in einem Wegwerf-Container mit Docker auf die Konfiguration des Servers; der Scan braucht einen Befehl und ein kostenloses Snyk-Token.
Ein Platform-Team, das interne Agent Skills veröffentlicht
Neue SKILL.md-Dateien im Review auf Prompt Injection und geleakte Secrets prüfen
Lass den Scanner in einem Pre-Merge-Job über das Skills-Verzeichnis laufen und behandle die Ergebnisse als Hinweise, weil sich das Ausgabeschema zwischen Releases ändern kann.
Bevor du dich festlegst
- Einrichtung
- Leg ein Snyk-Konto an, exportiere SNYK_TOKEN und führe dann uvx snyk-agent-scan@latest aus, oder lade ein eigenständiges Binary herunter und prüfe seine signierten Prüfsummen. Ein npm-Paket wird nicht veröffentlicht.
- Integrationen
- Findet automatisch Konfigurationen von Claude Code, Claude Desktop, Cursor, GitHub Copilot, VS Code, Windsurf, Gemini CLI, Amp und OpenClaw; der Hintergrundmodus berichtet an Snyk Evo.
- Daten und Datenschutz
- Schickt Angaben zu Agenten, MCP-Konfigurationen, Tool-Namen und -Beschreibungen sowie Skill-Inhalte mit geschwärzten Secrets an Snyks Agent Scan API; laut README werden die Inhalte von MCP-Tool-Aufrufen weder gespeichert noch protokolliert. Apache 2.0; keine GitHub-Sicherheits-Advisories veröffentlicht.
- Kosten im großen Maßstab
- Die CLI ist mit einem Snyk-Token kostenlos. Unternehmensweites Scannen im Hintergrund über Snyk Evo läuft über den Snyk-Vertrieb; Preise sind nicht veröffentlicht.
- Grenzen
- Die CLI-Ausgabe ist experimentell und kann sich zwischen Releases ändern; einige Skill-Pfade auf Projektebene werden noch nicht gescannt, und die Plugin-Erkennung unter Windows wird nicht unterstützt. 11 offene Issues.
Was gut ist
- Scannt MCP-Server und Agent Skills, nicht nur Prompts
- Erkennt Tool Poisoning, Shadowing, Toxic Flows und fest einprogrammierte Secrets
- Findet Konfigurationen über alle Ebenen der meisten verbreiteten Agenten-Clients
- Signierte Binaries mit SBOMs
Was nicht
- Schickt Tool-Beschreibungen und Skill-Inhalte an Snyk
- Startet stdio-MCP-Server, um sie zu untersuchen
- Ausgabeformat noch experimentell; Linie 0.5 wird abgekündigt
Am besten für
Teams, die Entwickler oder Agenten MCP-Server und Skills installieren lassen und vor dem Vertrauen eine Lieferkettenprüfung wollen.
Alternativen zu Snyk Agent Scan
Snyk Agent Scan: häufige Fragen
- Lohnt sich Snyk Agent Scan?
- Eine vernünftige erste Prüfung der MCP-Server und Skills, denen deine Agenten vertrauen, sofern du akzeptierst, ihre Beschreibungen an Snyk zu schicken, und nicht vertrauenswürdige Konfigurationen in einer Sandbox scannst. Wir bewerten es mit 3.8 von 5.
- Was kostet Snyk Agent Scan?
- Kostenlos und Open Source unter Apache 2.0; braucht ein Snyk-Konto und ein API-Token. Flottenweites Scannen im Hintergrund berichtet an Snyk Evo, Preis auf Anfrage.
- Welche Nachteile hat Snyk Agent Scan?
- Schickt Tool-Beschreibungen und Skill-Inhalte an Snyk; Startet stdio-MCP-Server, um sie zu untersuchen; Ausgabeformat noch experimentell; Linie 0.5 wird abgekündigt.
- Für wen eignet sich Snyk Agent Scan?
- Teams, die Entwickler oder Agenten MCP-Server und Skills installieren lassen und vor dem Vertrauen eine Lieferkettenprüfung wollen.
- Was kostet Snyk Agent Scan für ein Team oder im Produktivbetrieb?
- Die CLI ist mit einem Snyk-Token kostenlos. Unternehmensweites Scannen im Hintergrund über Snyk Evo läuft über den Snyk-Vertrieb; Preise sind nicht veröffentlicht.
- Ist Snyk Agent Scan sicher für Firmendaten?
- Schickt Angaben zu Agenten, MCP-Konfigurationen, Tool-Namen und -Beschreibungen sowie Skill-Inhalte mit geschwärzten Secrets an Snyks Agent Scan API; laut README werden die Inhalte von MCP-Tool-Aufrufen weder gespeichert noch protokolliert. Apache 2.0; keine GitHub-Sicherheits-Advisories veröffentlicht.
- Was sind die besten Alternativen zu Snyk Agent Scan?
- Die nächsten Alternativen, die wir getestet haben, sind promptfoo und garak.
Antworten geprüft am 23. Okt. 2026.