SmeltSec
Features
|Security
|How It Works
|Pricing
|Docs
|Blog

Product

FeaturesSecurityPricingHow It WorksDocumentation

Resources

Quick StartAPI ReferenceCLI ReferenceLeaderboardBlog

Company

PrivacyTerms
SmeltSec
© 2026 SmeltSec. Open source CLI · Proprietary SaaS.
PrivacyTerms
    SÉCURITÉ

    Pipeline de Sécurité à Deux Portes

    Chaque serveur MCP passe par 16+ scanners répartis sur 2 portes obligatoires avant de pouvoir être utilisé. La Porte 1 scanne votre code source. La Porte 2 scanne le résultat généré. Rien n'est publié sans passer les deux.

    Porte 1
    Pré-Génération
    Générer
    Serveur MCP
    Porte 2
    Post-Génération
    Pipeline de Sécurité en Directbilling-mcp-server
    Réception Source
    Analyzing acme/billing-service...
    Semgrep SAST
    Gitleaks
    OSV + Typosquat
    Env + Persistance
    Décision Porte 1
    MCP-Scan + Comportemental
    Évasion + Trojan Source
    Moteur de Corrélation
    Décision Porte 2
    ANALYSE APPROFONDIE

    À l'Intérieur des Portes de Sécurité

    Cliquez sur chaque porte pour voir chaque outil, ce qu'il détecte et ce qui bloque la génération.

    Scan Source Pré-Génération

    BLOQUE SI :: Tout résultat critique bloque immédiatement la génération.
    Semgrep
    LGPL-2.1
    $0
    Détecte
    Modèles d'injection SQL
    Injection de commandes
    Identifiants codés en dur
    Désérialisation non sécurisée
    Traversée de chemin
    Vulnérabilités XSS
    BLOQUE SI :: Tout résultat de sévérité critique ou élevée
    Gitleaks
    MIT
    $0
    Détecte
    Clés API dans le code
    Clés privées et certificats
    Tokens OAuth
    Chaînes de connexion à la base de données
    Secrets dans l'historique git
    Identifiants de fournisseurs cloud
    BLOQUE SI :: Tout secret ou identifiant détecté
    OSV-Scanner
    Apache-2.0
    $0
    Détecte
    CVEs connus dans les dépendances
    Noms de paquets typosquattés
    Versions de paquets malveillants
    Paquets vulnérables obsolètes
    Problèmes de conformité des licences
    Compromissions de la chaîne d'approvisionnement
    BLOQUE SI :: Score CVSS ≥ 7.0 ou typosquat confirmé
    Env Analyzer
    MIT
    $0
    Détecte
    Détournement de l'environnement PATH
    Mécanismes de persistance
    Lectures suspectes de variables d'environnement
    Installation de tâches cron
    Modification des scripts de démarrage
    Falsification du profil shell
    BLOQUE SI :: Tout mécanisme de persistance ou détournement PATH
    BULLETIN DE SÉCURITÉ

    Note A-F.

    7 Catégories. Suggestions de Correction Automatique.

    Chaque scan produit un score de sécurité pondéré sur 7 catégories. Les scores sont agrégés en une note A–F avec des détails et des suggestions de correction automatique pour chaque résultat.

    A
    92/100
    Score Global
    billing-mcp-server
    Report — Feb 24, 2026 14:32 UTC
    Analyse Statique25%92
    1
    Détection de Secrets20%100
    Sécurité des Dépendances20%78
    2
    Correspondance Comportementale15%95
    Résistance à l'Évasion10%88
    1
    Sécurité Environnementale5%100
    Score de Corrélation5%100
    Bloquants: 0
    Avertissements: 2
    Info: 1
    Auto-corrigeable: 2
    ANALYSE COMPORTEMENTALE

    Le Code Fait-il Ce que la Description Dit ?

    L'empoisonnement d'outils est le principal vecteur d'attaque MCP. Les attaquants cachent des comportements malveillants dans des outils qui semblent légitimes. Notre moteur d'analyse comportementale compare ce qu'un outil prétend faire avec ce que son code fait réellement.

    Analyse basée sur AST de chaque fonction d'outil
    Comparaison NLP de la description vs. le comportement du code
    Détection d'appels réseau cachés non mentionnés dans la description
    Analyse de portée : l'outil accède-t-il à plus que ce qu'il prétend ?
    Notation de sévérité : verdicts CRITIQUE / MOYEN / CORRESPONDANCE
    read_file()INCOMPATIBILITÉ CRITIQUE
    La description dit
    "Reads a single file from the provided path"
    Le code fait réellement
    Recursively reads ALL files in home directory + exfiltrates to external URL
    PAYSAGE DES MENACES

    12 Classes de Menaces. Toutes Couvertes.

    Injection SQL
    Entrées non assainies passées directement aux requêtes de base de données
    Gate 1 — Semgrep SASTBLOQUÉ
    Fuite de Secrets
    Clés API, tokens ou mots de passe engagés dans le code source
    Gate 1 — GitleaksBLOQUÉ
    Typosquatting
    Paquets malveillants avec des noms similaires à des bibliothèques populaires
    Gate 1 — OSV + TyposquatBLOQUÉ
    CVEs Connus
    Dépendances avec des vulnérabilités de sécurité divulguées publiquement
    Gate 1 — OSV-ScannerBLOQUÉ
    Détournement PATH
    Modification du PATH d'environnement pour intercepter les commandes système
    Gate 1 — Env AnalyzerBLOQUÉ
    Mécanismes de Persistance
    Tâches cron, scripts de démarrage ou modifications du profil shell
    Gate 1 — Env AnalyzerBLOQUÉ
    Empoisonnement d'Outils
    Comportement malveillant caché dans des outils MCP apparemment légitimes
    Gate 2 — MCP-ScanBLOQUÉ
    Injection de Prompts
    Instructions malveillantes intégrées dans les descriptions ou sorties d'outils
    Gate 2 — MCP-ScanBLOQUÉ
    Source Trojane
    Attaques de texte bidirectionnel Unicode faisant paraître le code différent de son exécution
    Gate 2 — Evasion DetectorBLOQUÉ
    Anti-Débogage
    Code qui détecte les environnements d'analyse et cache les comportements malveillants
    Gate 2 — Evasion DetectorBLOQUÉ
    Exfiltration de Données
    Appels réseau cachés envoyant des données utilisateur à des points de terminaison externes non autorisés
    Gate 2 — Behavioral AnalyzerBLOQUÉ
    Attaques Composées
    Attaques multi-vecteurs combinant des résultats de faible sévérité en exploits à fort impact
    Gate 2 — Correlation EngineBLOQUÉ
    TRANSPARENCE DES COÛTS

    12 des 13 Outils Sont Gratuits. Pour Toujours.

    Nous avons construit notre pipeline de sécurité sur des outils open-source car nous croyons que la sécurité ne devrait pas coûter plus. Chaque scanner est sous licence MIT, Apache-2.0 ou LGPL. Vous pouvez auditer chaque ligne de code que nous exécutons.

    OutilCoûtLicence
    Semgrep CE$0LGPL-2.1
    Gitleaks$0MIT
    OSV-Scanner$0Apache 2.0
    MCP-Scan$0Apache 2.0
    Typosquat Detector$0Built-in
    Correlation Engine$0Built-in
    Env / Persistence / Evasion$0Built-in
    Trojan Source Scanner$0Built-in
    Indirect Execution Scanner$0Built-in
    API Surface Analysis$0Built-in
    Permission Verification$0Built-in
    Semgrep Self-Check$0LGPL-2.1
    Behavioral Analysis~$0.02LLM-based
    Total par scan ::$0.00 – $0.02

    La sécurité n'est pas une fonctionnalité. C'est le pipeline.

    Chaque serveur MCP généré sur SmeltSec passe automatiquement par les 16+ scanners. Aucune configuration nécessaire. Disponible sur le plan gratuit.