Agent Scan

Ausgemustert

Nicht mehr auf dem Radar

Wir haben diesen Eintrag im Release September 2026 entfernt. Das Ausmustern ist keine Empfehlung dagegen — es bedeutet, dass der Radar dazu keine eigene Meinung mehr braucht. Der folgende Text bleibt so erhalten, wie er zuletzt veröffentlicht wurde, und wird nicht mehr gepflegt.

Diese Entscheidung wird jetzt abgedeckt von:

Überblick

Agent Scan ist Snyks Security-Scanner für die Agent-Supply-Chain: Er entdeckt und scannt lokale KI-Agent-Komponenten, darunter MCP-Server, Agent Skills, Tools, Prompts und Ressourcen. Das veröffentlichte Paket snyk-agent-scan beschreibt einen Scanner für Agents, MCP-Server und Skills, der installierte Agent-Komponenten inventarisiert und auf Prompt Injections, sensibles Daten-Handling, in natürlicher Sprache versteckte Malware-Payloads, Tool Poisoning, Toxic Flows und Schwachstellen in Agent Skills prüft (PyPI). Das verwandte Paket mcp-scan ist inzwischen ein Redirect-Paket, das snyk-agent-scan installiert und die CLI mcp-scan dorthin weiterleitet. Das ist relevant für Teams, die die Invariant-Labs-Tools unter dem alten Namen evaluiert haben (PyPI).

Agent Scan sollte bewertet werden, weil er eine reale und schnell wachsende Blindstelle adressiert: Agentische Developer-Tools laden MCP-Server und Skills, die ausführbare Befehle, Anweisungen in natürlicher Sprache, Tool-Beschreibungen, Credential-Handling und Laufzeit-Datenpfade enthalten können. Snyks ToxicSkills-Forschung scannte 3.984 Skills und fand, dass 36,82 % mindestens eine Sicherheitslücke hatten, 13,4 % ein kritisches Problem und 76 bösartige Payloads nach manueller Prüfung bestätigt wurden. Das zeigt, warum Scanning der Agent-Skill- und MCP-Supply-Chain explizite Aufmerksamkeit verdient (Snyk).

Adoptionssignale

Das Paket snyk-agent-scan bietet uvx snyk-agent-scan@latest für Vollmaschinen-Scans mit Auto-Discovery von Agents, MCP-Servern und Skills sowie gezielte Scans von MCP-Konfigurationsdateien, einzelnen SKILL.md-Dateien und Skill-Verzeichnissen wie ~/.claude/skills (PyPI).
Agent Scan unterstützt gängige Developer-AI-Umgebungen und Clients, darunter Cursor, VS Code, Claude Code, Gemini CLI, Windsurf, Amp, Antigravity, Codex, Amazon Q, Claude Desktop und OpenClaw, mit unterschiedlicher MCP- und Skills-Abdeckung je Betriebssystem (PyPI).
Snyk berichtet, dass Agent Scan die Security-Integration von Vercels skills.sh antreibt und angepasste LLM-basierte Judges mit deterministischen Regeln kombiniert, um Ausführungslogik und Anweisungen in natürlicher Sprache in Skills zu analysieren (Snyk).
Das öffentliche GitHub-Repository ist Apache-2.0-lizenziert, Python-basiert, seit April 2025 aktiv und zeigt sichtbare Aktivität bis Mai 2026; Metadaten listen Themen wie AI, MCP, Model Context Protocol, Agent und Security (GitHub API).
Die Kategorie wird Mainstream: Ciscos AI Agent Security Scanner bringt MCP-Server-Scanning, Agent-Skill-Scanning, Secure-Code-Guidance und Konfigurations-Integritäts-Monitoring direkt in IDE-Workflows für Cursor, VS Code und Windsurf (Cisco).

Risiken

Ausführungsrisiko beim Scannen ist explizit: Beim Scannen einer MCP-Konfiguration startet Agent Scan stdio-MCP-Server durch Ausführen des konfigurierten Befehls und der Argumente, um Tool-Beschreibungen abzurufen. Teams sollten Zustimmungsdialoge prüfen und Scans in einer Sandbox für nicht vertrauenswürdige oder Drittanbieter-MCP-Konfigurationen ausführen (PyPI).
API- und Metadaten-Sharing muss geprüft werden: Agent Scan validiert Komponenten lokal und über die Agent-Scan-API und teilt Skills, Agent-Anwendungen, Tool-Namen und Beschreibungen mit Snyk; MCP-Tool-Call-Inhalte oder -Ergebnisse werden laut Angabe nicht gespeichert oder geloggt (PyPI).
Gefährliche Automatisierungs-Flags brauchen Leitplanken: In nicht-interaktiven Umgebungen ist --dangerously-run-mcp-servers nötig, um Zustimmung zu umgehen und alle konfigurierten stdio-Server automatisch zu starten. Das sollte nur nach Verifizierung der Server-Befehle genutzt werden (PyPI).
Scanner-Abdeckung ist kein vollständiger Laufzeitschutz, weil Toxic Flows aus dynamischen Kombinationen von Tools, sensiblen Daten, nicht vertrauenswürdigen Anweisungen und Exfiltrationskanälen zur Laufzeit entstehen können. Invariant Labs positioniert Toxic-Flow-Analyse als hybrides Framework aus statischen Agent-/Tool-Informationen und Laufzeitdaten (Invariant Labs).
Reife des Betriebsmodells entwickelt sich noch: Agent Scan ist für externe Beiträge geschlossen, nimmt Vorschläge über Issues an und sollte auf lokale False Positives, Remediation-Ownership und Policy-Fit validiert werden, bevor er verbindliches Gate wird (PyPI).

Vorteile & Nachteile

Vorteile

Erkennt lokale Agent-Komponenten automatisch, einschließlich MCP-Konfigurationen, Agent-Tools und Skills in gängigen Developer-AI-Clients.
Erkennt agentspezifische Risiken wie Prompt Injection, Tool Poisoning, Tool Shadowing, Toxic Flows, Malware-Payloads, nicht vertrauenswürdige Inhalte, Credential-Handling und hardcodierte Secrets.
Bietet einen Scan-Modus für Entwickler und einen Hintergrund-Monitoring-Modus für Security-Teams, die unternehmensweite Sichtbarkeit in die Agent-Supply-Chain benötigen.

Nachteile

Beim Scannen von MCP-Konfigurationen können die darin definierten Befehle ausgeführt werden; nicht vertrauenswürdige MCP-Server sollten geprüft und in einer Sandbox gescannt werden.
Die Validierung ruft die Agent-Scan-API auf und teilt Skills, Agent-Anwendungen, Tool-Namen und Beschreibungen mit Snyk, was nicht zu allen Datenschutz- oder Regulierungsanforderungen passt.
Das Projekt ist noch jung, für externe Beiträge geschlossen; Scanner-Funde sollten lokal validiert werden, bevor sie als verbindliche Delivery-Gates gelten.

Empfehlung

Bewerten Sie Agent Scan als Kandidat für Sichtbarkeit und Security Controls in der Agent-Supply-Chain, wenn Teams Claude Code, Cursor, VS Code, Windsurf, Gemini CLI, Codex, MCP-Server oder installierbare Agent Skills nutzen. Starten Sie mit beratenden Scans auf Entwickler-Maschinen und repräsentativen CI-Umgebungen mit uvx snyk-agent-scan@latest, gezielten MCP-Config-Scans und Skill-Verzeichnis-Scans, um die lokale Agent-Oberfläche zu inventarisieren. Bevor Sie verbindliche Gates einführen, validieren Sie Scanner-Funde gegen bekannte gute und absichtlich verwundbare Konfigurationen, dokumentieren Sie, welche Metadaten an Snyk gehen, entscheiden Sie, ob Sandbox-Scanning erforderlich ist, und definieren Sie Ownership für unsichere MCP-Server, Skills, Prompt Injections, Toxic Flows, Secrets und Credential-Handling.