Cuándo usarlo: Alguien te envió un enlace de skill que se ve bien. Antes de clonar, quieres saber si es seguro.
Flujo
-
Apunta a la URL del repositorio objetivo
Usa repo-forensics. Escanea https://github.com/<author>/<skill> con los escáneres skill_threats, secrets, dataflow y lifecycle. Reporta hallazgos.✓ Copiado
→ Reporte por escáner con banderas de gravedad
-
Lee hallazgos correlacionados
¿Hay correlaciones entre escáneres — p.ej. una ruta de fuga de secreto más un hook del ciclo de vida?✓ Copiado
→ Resumen de correlación
Resultado: Una decisión de proceder o no proceder basada en la salida del escáner, no en intuiciones.
Errores comunes
- Confiar en un escaneo verde como prueba completa de seguridad — Los escáneres son un piso sólido, no un techo — aún así lee SKILL.md
Cuándo usarlo: Antes de agregar un nuevo servidor MCP a un agente con permisos reales.
Flujo
-
Ejecuta escáneres enfocados en MCP
Escanea este repositorio de servidor MCP con mcp_security, skill_threats, integrity y dast.✓ Copiado
→ Hallazgos enfocados en descripciones de herramientas y scripts de instalación
-
Verifica el historial de git para suplantación de identidad
Ejecuta git_forensics en el mismo repositorio — ¿hay commits suplantados?✓ Copiado
→ Análisis de autor / firma
Resultado: Un expediente de seguridad de MCP antes de conectarlo a tu agente.
Cuándo usarlo: La instalación terminó con comportamiento inesperado; quieres saber si algo se instaló.
Flujo
-
Ejecuta escaneos post_incident + entropy
Ejecuta el escáner post_incident en ~/.npm y en el proyecto actual. También escanea la entropía de los paquetes instalados.✓ Copiado
→ Banderas para artefactos en caché sospechosos o payloads codificados
Resultado: Evidencia de si rotar secretos y reconstruir.
Errores comunes
- Ejecutar escaneos desde el shell potencialmente comprometido — Ejecuta desde un shell nuevo u otra máquina en caso de duda