افحص ما يثق به وكلاؤك — بأمر واحد
Palanit Core ماسح بلا تبعيات لـ Model Context Protocol. امنحه إعداد MCP أو بيان أدوات فيقرأ كل أداة كما سيقرؤها وكيلك — ثم يكشف تلك التي ستخونه بهدوء. إنه مجاني ومفتوح المصدر ومصمم ليعيش في طرفيتك وفي CI لديك.
ماذا يكتشف Core
تسميم أوصاف الأدوات
تعليمات خفية في وصف الأداة سينفّذها وكيلك كما لو أنك كتبتها.
تسريب البيانات
أوصاف أو مخططات توجّه الوكيل لإرسال بيانات أو أسرار إلى نقطة طرفية خارجية.
الأسرار المضمّنة في الكود
مفاتيح API ورموز وبيانات اعتماد مُثبَّتة داخل الإعدادات والبيانات.
Unicode غير مرئي
أحرف بعرض صفري وأحرف تحكم ثنائية الاتجاه تخفي التعليمات عن المراجعة البشرية.
الحزم غير المثبّتة
خوادم تُطلق بـ @latest أو إصدارات عائمة — خطر سلسلة توريد عبر الاستبدال.
أدوات تنفيذ الأوامر (shell-exec)
أدوات تخرج إلى shell، مما يوسّع نطاق الضرر لأي استدعاء مخترَق واحد.
النقل بدون TLS
نقاط طرفية عبر http:// حيث يمكن قراءة حركة بيانات الأدوات أو التلاعب بها أثناء النقل.
التمويه عبر تصادم الأسماء
أداتان بالاسم نفسه، مما يتيح لأداة خبيثة أن تموّه أداة موثوقة.
مبني لـ CI
يخرج Core برمز 1 عند أي اكتشاف بخطورة HIGH أو أعلى، فتُفشل أداة مسمومة البناء بدلًا من وصولها إلى الإنتاج. مخرجات JSON القابلة للقراءة آليًا تندمج في أي خط أنابيب أو لوحة معلومات.
مفتوح بالتصميم
كل قاعدة قابلة للقراءة والتدقيق. يمكنك أن ترى بالضبط ما يعتبره Core خطيرًا، وتوسّعه بقواعدك الخاصة، وتثق به تحديدًا لأنك قادر على فحصه.
التثبيت والتشغيل
# Install (PyPI)
pip install palanit-core
# Scan an MCP config — fails CI on HIGH+
palanit scan mcp.config.json --fail-on HIGH
# Machine-readable output
palanit scan mcp.config.json --json > report.json