agent-audit-kit

agent-audit-kit 是一款针对通过 MCP 协议连接的 AI Agent 流水线的开源静态安全扫描工具。它内置 225 条规则，覆盖 11 个安全分类与 12 个合规框架，能够检测 OWASP Agentic Top 10 和 MCP Top 10 中的已知风险，并可将公开 CVE 转化为检查规则。工具支持 SARIF 报告输出，并可通过 GitHub Action 轻松集成到 CI/CD 流程中。

优点：规则覆盖面广，紧跟新型 AI Agent 威胁与合规要求；开源免费，允许团队自定义规则；与开发者工作流深度集成，适合左移安全实践。

局限与门槛：项目尚处早期，社区支持与文档可能不完善，规则准确性需在实践中验证；要求用户具备一定的 AI Agent 安全知识，并理解 MCP 协议交互细节。

适用场景：适合开发 MCP 连接 AI Agent 的团队、安全工程师以及需要满足 OWASP 合规的审计人员。不适合未采用 MCP 协议或完全不接触 AI Agent 流水线的项目。