ForgeGuardian skanner npm, PyPI og MCP-servere for forsyningskjede-angrep

ForgeGuardian er en Go-skanner for forsyningskjedesikkerhet som ble lagt ut på GitHub 15. august og har 25 stjerner. Prosjektet er Apache 2.0-lisensiert, og ifølge repoets README kjører hver skanning alle tilgjengelige motorer samtidig: OSV mot kjente CVE-er, en atferdsmotor for ondsinnede install-skript og typosquatting, en malware-motor med byte- og regex-mønstre, en modellmotor for utrygge Hugging Face-vekter, og en MCP-motor som ser etter prompt-injeksjon i verktøybeskrivelser. Grype, Trivy og Semgrep er valgfrie og hentes inn med fgctl doctor --fix.

MCP-motoren er det som skiller ForgeGuardian fra en vanlig avhengighetsskanner. Den har 13 signaturer for verktøyskygging og dataeksfiltrering via MCP, altså angrep der en verktøybeskrivelse i en MCP-server bærer instruksjoner agenten leser som sine egne. Har du koblet en agent til MCP-servere du ikke har skrevet selv, er det en angrepsflate ingen npm audit ser på.

Signaturbasen dekker ifølge README-en reelle angrep fra 2016 til 2026 og er fordelt på seks typer: 80 blokklistede pakker, blant dem event-stream, XZ Utils og Shai-Hulud-ormen, 44 malware-mønstre, 42 atferdsregler, 27 typosquatting-mål, 13 MCP-injeksjonsmønstre og 12 pickle-regler for modellvekter. Økosystemene er npm, PyPI, Go, Maven, RubyGems, Cargo, NuGet, Hugging Face og GitHub Actions. Du kan skrive egne signaturer med fgctl intel new, som er en veiviser prosjektet anslår tar rundt ti minutter og ikke krever Go-kunnskap.

«Null telemetri: den ringer ikke hjem om noe som helst» — ForgeGuardian, README

Installasjonen er ett curl-kall til install.sh, eller en Docker-container fra ghcr.io. fgctl scan . skanner katalogen du står i og viser funn med alvorlighetsgrad og fiksversjon, mens fgctl serve starter et selvhostet dashbord på localhost:8080 med risikograder fra A til F, avhengighetstopologi og varsler til Slack, Discord eller egen webhook. Docker-oppsettet bruker port 3000 i stedet.

Gratisutgaven er ikke en amputert demo. Alle åtte motorene, SBOM-generering i CycloneDX 1.5 og SPDX 2.3, Sigstore-signering uten nøkler og hele dashbordet ligger i Apache 2.0-delen. Pro legger til team-styring med RBAC, skyhosting og SLA. KI-funksjonene, altså sikkerhetsrådgivning og en patch-agent, er opt-in og kan peke mot en lokal modell i stedet for et API hos en leverandør.

Forbeholdet er alderen. Repoet er tre uker gammelt, siste push var 31. august, og 223 signaturer er lite mot databasene bak kommersielle verktøy. Verdien ligger derfor mindre i dekningsbredden enn i at MCP- og modellvekt-motorene finnes i det hele tatt, og at hele kjeden kjører på din egen maskin.

Hva bør du gjøre?

1. Kjør fgctl scan . mot et prosjekt du kjenner godt, og sammenlign funnene med npm audit eller pip-audit for å se hva de ekstra motorene faktisk legger til.
2. Skann MCP-serverne agenten din er koblet til. De 13 injeksjonssignaturene er det eneste i verktøyet ingen etablert skanner dekker.
3. Legg fgctl scan . --ci --fail-on=high --format=sarif inn i GitHub Actions og last opp SARIF-fila til GitHub Security, så havner funnene der du allerede ser dem.