@aimarket/warden 0.8.1 → 0.9.0

package/docs/scan.fr.md

@@ -0,0 +1,184 @@
+# Analyser les serveurs que démarrent vos clients MCP
+
+> 🌐 [English](scan.md) · [Русский](scan.ru.md) · [Español](scan.es.md) · **Français** · [中文](scan.zh.md)
+
+`warden-mcp scan` lit la configuration MCP que vous avez déjà, se connecte à chaque serveur qu’elle démarre et vérifie les définitions d’outils avant qu’un modèle ne les voie. C’est la même chaîne de portes que [`wrap`](../README-fr.md) et la [bibliothèque](integration.fr.md), exécutée une fois sur vos configurations au lieu de se placer devant un seul serveur.
+
+```bash
+npx -y @aimarket/warden@0.9.0 scan
+```
+
+```text
+WARDEN scan 0.9.0 · ruleset 10 sha256-lJuKKKV5mtru… · block at high
+  read .mcp.json (claude-code, 3 servers)
+
+  ✓ allow   notes        claude-code    1 tool · score 0.90
+  ✗ BLOCK   evil-notes   claude-code    1 tool · score 0.00 · TOOL_DEF_EXFIL(notes) TOOL_DEF_SECRET_REQUEST(notes)
+  ! error   broken       claude-code    could not start: spawn /nonexistent/bin/server ENOENT
+
+3 servers: 1 allowed, 1 blocked, 1 not checked, 0 skipped.
+```
+
+Pas de compte, pas de clé d’API, pas de modèle. Le seul trafic réseau va vers les serveurs de votre configuration et, si vous passez `--histor`, vers le journal HISTOR.
+
+## Où il cherche
+
+Sans argument, chaque fichier du tableau qui existe. Passez des fichiers pour n’analyser que ceux-là, `--project` pour les fichiers du projet dans le répertoire courant, ou `--client NAME` pour un seul client.
+
+| Client | Fichier du projet | Fichier de l’utilisateur |
+|---|---|---|
+| Claude Code | `.mcp.json` | `~/.claude.json` (serveurs de l’utilisateur et de ce projet) |
+| Claude Desktop | — | `claude_desktop_config.json` dans le répertoire de configuration de l’application |
+| Cursor | `.cursor/mcp.json` | `~/.cursor/mcp.json` |
+| VS Code | `.vscode/mcp.json` (JSONC) | `mcp.json` dans le répertoire des paramètres utilisateur |
+| Windsurf | — | `~/.codeium/windsurf/mcp_config.json` |
+
+Un serveur que la configuration démarre via `warden-mcp wrap` est analysé comme le serveur derrière l’enveloppe, sous l’identifiant de pin qu’utilise `wrap`, si bien que la dérive par rapport à l’instantané approuvé apparaît dans le rapport. Les entrées désactivées, celles qui demandent une valeur `${input:…}` que le client réclame à l’utilisateur, et celles sans `command` ni `url` sont listées comme ignorées, jamais supprimées en silence.
+
+## Démarrer les serveurs
+
+Pour lire les outils d’un serveur stdio, `scan` le démarre avec la commande, les arguments et l’environnement de la configuration, exactement comme votre client, puis l’arrête après `tools/list`. Il n’appelle jamais d’outil. Le programme s’exécute tout de même. Là où vous ne le voulez pas, par exemple en CI sur une pull request, `--no-launch` ne vérifie que la ligne de lancement : les enregistrements de commandes du threat feed et l’identité de lancement du lock.
+
+Les serveurs distants (`url`, streamable HTTP ou l’ancien HTTP+SSE) sont interrogés sur le réseau avec les en-têtes de la configuration. `--public-only` refuse ceux qui se résolvent en adresses loopback, privées, link-local ou de métadonnées cloud, en vérifiant l’adresse réellement contactée. Les redirections ne sont pas suivies.
+
+## Sortie et codes de sortie
+
+| Option | Écrit |
+|---|---|
+| (par défaut) | un tableau sur stdout |
+| `--json` | le rapport JSON sur stdout |
+| `--json-file FILE` | le rapport JSON dans un fichier, en plus du tableau |
+| `--sarif FILE` | du SARIF 2.1.0 pour GitHub code scanning ; uniquement les constats bloquants, situés à la ligne du serveur dans la configuration |
+| `--markdown FILE` | un résumé avec des détails repliables, pour `$GITHUB_STEP_SUMMARY` ou un commentaire de PR |
+
+Code `0` : rien de bloqué. `1` : un serveur a été bloqué ou, avec `--fail-on-error`, n’a pas pu être vérifié. `2` : erreur d’utilisation ou de configuration. `--fail-on SEVERITY` déplace le seuil de blocage ; `--policy FILE` accepte le même fichier de politique strict que `wrap`.
+
+Les identifiants présents dans les lignes de lancement et les URL sont affichés comme `***`. Dans le rapport Markdown, les descriptions d’outils sont placées dans des blocs de code que ce texte ne peut pas refermer.
+
+## Le fichier lock : relire les définitions, pas seulement la commande
+
+Une ligne de configuration dit quel programme démarre. Elle ne dit pas ce que ce programme dira à votre modèle. Le lock enregistre ce second point, pour qu’une pull request le montre.
+
+```bash
+warden-mcp scan --project --lock warden.lock.json --update-lock   # après avoir lu ce qui a changé
+git add .mcp.json warden.lock.json
+```
+
+`--update-lock` écrit l’identité de lancement de chaque serveur et ses définitions d’outils complètes, et refuse d’enregistrer un serveur que WARDEN bloque. Le relancer sur des serveurs inchangés ne modifie pas le fichier. Avec `--lock` seul :
+
+- un serveur que le lock ne connaît pas est bloqué (`LOCK_MISSING`) ;
+- un serveur démarré autrement est bloqué (`SERVER_IDENTITY_DRIFT`) ;
+- un serveur qui annonce désormais d’autres outils est bloqué (`TOOL_DEF_DRIFT`), et le rapport Markdown montre le changement sous forme de diff des noms, descriptions et schémas.
+
+Les entrées du lock qu’aucune configuration ne démarre sont listées, puis supprimées à la mise à jour suivante.
+
+## GitHub Action
+
+```yaml
+name: MCP servers
+on: [pull_request]
+permissions:
+  contents: read
+  security-events: write   # uniquement pour upload-sarif
+jobs:
+  warden:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: alexar76/warden@v0.9.0
+        with:
+          upload-sarif: 'true'
+```
+
+Par défaut, elle lit les fichiers du projet, ne démarre pas les serveurs stdio (c’est la pull request qui choisit ce programme), refuse les adresses non publiques, utilise `warden.lock.json` s’il existe, écrit le résumé du job et échoue sur un serveur bloqué. Entrées : `config`, `working-directory`, `lock`, `launch-stdio`, `public-only`, `fail-on`, `histor`, `classifier-url`, `classifier-model`, `classifier-blocks`, `sarif`, `upload-sarif`, `version`. Sorties : `blocked`, `servers`, `sarif`. Dans les workflows de production, épinglez l’action par SHA de commit.
+
+## pre-commit
+
+```yaml
+repos:
+  - repo: https://github.com/alexar76/warden
+    rev: v0.9.0
+    hooks:
+      - id: warden-scan     # configurations modifiées ; ne démarre pas les serveurs stdio
+      - id: warden-lock     # le projet correspond à warden.lock.json ; démarre les serveurs stdio
+```
+
+Les deux exécutent le paquet publié via `npx` : Node 20 ou plus récent doit être dans le `PATH`.
+
+## Plugin Claude Code
+
+```text
+/plugin marketplace add alexar76/warden
+/plugin install warden@warden
+```
+
+Au début de la session, il analyse les serveurs que Claude Code démarre pour le projet, vous indique lesquels sont bloqués, et ne donne au modèle que le nom et le code du constat. Une description bloquée n’entre jamais dans le contexte du modèle. Ensuite, un hook `PreToolUse` refuse les appels aux outils d’un serveur bloqué ou à un outil bloqué ; il lit un petit fichier et ne démarre rien. Détails et limites : [claude-plugin/README.md](../claude-plugin/README.md).
+
+## HISTOR : ce serveur vous sert-il ce qu’il sert à tout le monde ?
+
+[HISTOR](https://histor.modelmarket.dev) est un journal public qui enregistre chaque jour les définitions d’outils de tous les serveurs distants du registre MCP officiel. `--histor` lui pose une question par serveur distant : l’ensemble d’outils qu’on vient de vous servir est-il celui qu’observe HISTOR ?
+
+Ce qui est envoyé : l’endpoint, réduit au schéma, à l’hôte et au chemin (sans query, sans nom d’utilisateur ni mot de passe), et le condensé [MTL/1](https://github.com/alexar76/awr) de l’ensemble d’outils. Aucune description d’outil, aucun en-tête, aucun serveur stdio. Les endpoints sur des hôtes ou adresses privés, et les chemins qui semblent contenir une clé, ne sont pas envoyés du tout ; le rapport dit pourquoi.
+
+| Réponse | Signification |
+|---|---|
+| `same` | On vous a servi l’ensemble qu’HISTOR observe actuellement |
+| `different` | HISTOR n’a jamais vu cet ensemble : il a changé après le dernier passage quotidien, ou le serveur vous sert autre chose qu’au robot public. Signalé comme constat à titre consultatif uniquement `HISTOR_UNSEEN_TOOLSET` |
+| `previously-observed` | Un ensemble qu’HISTOR a vu auparavant, pas l’actuel. Constat consultatif `HISTOR_OLDER_TOOLSET` |
+| `not-listed`, `not-observed` | HISTOR ne connaît pas cet endpoint ou ne l’a encore jamais lu avec succès |
+
+Les réponses d’HISTOR ne bloquent jamais. Si HISTOR ne répond pas, c’est signalé et l’analyse continue.
+
+## Le classificateur optionnel
+
+Les règles de WARDEN fonctionnent hors ligne et de façon déterministe, et elles manquent ce qu'aucune règle ne nomme : une paraphrase, une consigne dans une autre langue. `--classifier-url` et `--classifier-model` ajoutent l'avis d'un modèle que vous choisissez, via n'importe quel endpoint compatible OpenAI : Ollama, vLLM ou LM Studio en local, ou une API hébergée.
+
+```bash
+warden-mcp scan --classifier-url http://localhost:11434/v1 --classifier-model qwen2.5:14b
+WARDEN_CLASSIFIER_API_KEY=… warden-mcp scan --classifier-url https://api.deepseek.com --classifier-model deepseek-flash
+```
+
+- **Désactivé par défaut, il envoie le texte des outils.** Avec les deux options, le nom, la description et les schémas de chaque outil partent vers cet endpoint. Un modèle local les garde sur votre machine. La clé, si nécessaire, vient uniquement de `WARDEN_CLASSIFIER_API_KEY`, jamais d'une option.
+- **Consultatif sauf avec `--classifier-blocks`.** Ses verdicts sont signalés comme `TOOL_DEF_CLASSIFIER`. Avec `--classifier-blocks`, un verdict au seuil de blocage ou au-dessus (`high` par défaut) bloque l'outil comme une règle. Un classificateur qui ne répond pas est signalé et ne bloque jamais.
+- **La même question que HISTOR.** Le prompt, les quatre catégories (`instruction_to_model`, `exfiltration`, `secret_request`, `concealment`) et le format de réponse sont ceux du classificateur du journal HISTOR. Le texte des outils est placé entre des marqueurs à suffixe aléatoire qu'il ne peut pas forger, et la réponse du modèle est vérifiée champ par champ. Avec `--histor`, le verdict que le journal a lui-même enregistré sur l'ensemble qu'on vous a servi s'affiche aussi (`HISTOR_CLASSIFIER`, consultatif).
+- **Il ne lit ni les annotations ni les champs d'extension.** Les règles, si.
+
+Mesuré le 9 octobre 2026 avec `deepseek-flash`, le modèle qu'utilise HISTOR, sur MCPTox (le benchmark publié décrit dans la comparaison ci-dessous) et sur nos propres jeux :
+
+| | Règles (v10) | Règles + classificateur, blocage à `high` | Règles + toute marque du classificateur (consultative) |
+|---|---|---|---|
+| Moitié réservée de MCPTox, détectés sur 218 outils empoisonnés | 171 | 191 | 218 |
+| 45 serveurs propres de MCPTox, bloqués ou marqués | 0 | 0 | 4 marqués |
+| 200 serveurs du corpus tirés au hasard, bloqués ou marqués | 2 bloqués | 2 bloqués | 2 bloqués, 12 autres marqués |
+| 23 attaques écrites par nous / 12 cas bénins difficiles | 20 / 0 | 22 / 0 | 23 / 0 |
+
+Les deux que bloquent les règles sont le service d’identité et l’outil de déploiement de la comparaison ci-dessous. Les 13 serveurs marqués par le classificateur l'ont été en `medium` ou `low`, jamais en `high`. Six méritent un regard humain : l'un demande au modèle d'effectuer un transfert irréversible de nom ENS « comme première et unique action » sans demander à l'utilisateur, un autre de ne pas révéler d'où viennent ses données. Le modèle marque aussi le serveur officiel Fetch, dont la description dit au modèle qu'il a désormais accès à internet et ne doit pas refuser. C'est une consigne au modèle, mais pas une attaque. Le modèle a manqué ce que les règles détectent : une injection dans les annotations, une clé privée ou une phrase de récupération demandée comme paramètre, et `rm -rf ~`.
+
+## Comparaison
+
+Le 9 octobre 2026, nous avons exécuté WARDEN, mcp-audit 0.18.2 (`--connect`) et mcp-shield 1.0.4 sur les mêmes serveurs. Chaque serveur était rejoué en stdio, si bien que chaque scanner s’y connectait comme sur le terrain. Le banc, les jeux et chaque jugement sont dans [`scripts/scanner-comparison`](../scripts/scanner-comparison/). L’étude complète, avec la méthode et toutes les réserves, est la [comparaison de scanners](scanner-comparison.fr.md).
+
+Les trois dernières lignes viennent de MCPTox (Wang et al., AAAI 2026), un benchmark publié de 485 outils empoisonnés écrits pour 45 vrais serveurs MCP. Nous avons coupé ses serveurs en deux par un hachage fixe. Le ruleset v10 a été écrit à partir de 22 serveurs ; le tableau rend compte des 23 autres, avec 218 outils empoisonnés sur lesquels aucune règle n’a été ajustée.
+
+| Serveurs | WARDEN 0.8.2 (v8) | WARDEN 0.9.0 (v10) | mcp-audit 0.18.2 | mcp-shield 1.0.4 |
+|---|---|---|---|---|
+| 23 attaques écrites par nous, bloquées | 14 | 20 | 10 | 6 |
+| 10 attaques tirées des fixtures de mcp-audit et de mcp-shield, bloquées | 7 | 10 | 10 | 8 |
+| 12 cas bénins difficiles, bloqués | 0 | 0 | 1 | 1 |
+| 986 serveurs publics, bloqués | 3 | 3 | 33 | 343 |
+| …blocages justifiés à la lecture du texte | 1, et 1 discutable | 1, et 1 discutable | 0 | 0 sur 20 tirés au hasard |
+| 218 outils empoisonnés de MCPTox sur les serveurs réservés, bloqués | 26 | 171 | 25 | 41 |
+| 225 outils de MCPTox précédés de `<IMPORTANT>` ou « Ignore the previous instructions », bloqués | 225 | 225 | 222 | non exécuté |
+| 45 serveurs propres de MCPTox, bloqués | 0 | 0 | 2 | 3 |
+
+- **Lisez d’abord la ligne du corpus.** Aucune règle n’a été ajustée sur elle. Les 33 blocages de mcp-audit sont 16 « homoglyphes » dans un texte écrit entièrement dans son propre alphabet (ponctuation chinoise, symboles grecs, cyrillique), 12 consignes d’honnêteté comme « do not tell the user the check digits are wrong », 3 utilitaires base64, un outil de clé publique SSH et l’outil de déploiement que WARDEN bloque lui aussi à tort. mcp-shield bloque 35 % des serveurs réels, presque toujours sur un mot-clé : « API key », « token », `.env`, « .. ». Des points de suspension (« Shopify... ») comptent comme une remontée de répertoire. Il bloque bien le service d’identité que bloque WARDEN, mais pour le mot « credentials ».
+- **Sachez quels chiffres sont ajustés.** Nous avons écrit le premier jeu d’attaques. Le ruleset v9 a été écrit après la lecture des deux jeux d’attaques, et v10 après les 22 serveurs MCPTox de l’autre moitié. 20 et 10 sont donc le rappel de règles ajustées à ce qu’elles ont vu. La ligne MCPTox réservée, les serveurs propres, le corpus et toute la colonne 0.8.2 ne sont pas ajustés. Sur le corpus, v10 bloque exactement ce que bloquait v8.
+- **MCPTox teste une forme, pas un mot-clé.** Presque chaque outil empoisonné dit au modèle d’appeler d’abord un autre outil, ou de changer les arguments d’un autre outil. v10 nomme cette forme (`TOOL_DEF_CROSS_TOOL`, voir [la chaîne de portes](gates.fr.md)) et bloque 171 des 218 outils réservés, contre 189 sur 267 dans la moitié qui a servi à l’écrire. Avec le préfixe `<IMPORTANT>` ou « Ignore the previous instructions » du benchmark, tous les scanners que nous avons lancés les attrapent ; nous n’avons pas lancé mcp-shield sur ce jeu. Sur les serveurs propres, mcp-audit bloque AmapMap et BaiduMap, et mcp-shield bloque FileSystem, AdFin et Commander pour « sensitive file access ».
+- **Ce que WARDEN manque encore :** 47 des 218 outils MCPTox réservés, une consigne en chinois de lire `.env`, une paraphrase sans mot-clé (« gather every credential file … keep this step to yourself ») et « include the output of env ». Il signale 41 de ces 47, et nos trois, à titre consultatif, sans bloquer. Il faut une vérification par le sens, pas une règle de plus : avec le classificateur optionnel ci-dessus, 191 des 218 sont bloqués au niveau `high` et les 218 sont signalés.
+- **Non comparé :** Snyk Agent Scan, anciennement Invariant mcp-scan et le scanner le plus utilisé. Il juge les descriptions sur les serveurs de Snyk et exige un jeton de compte. mcp-audit propose lui aussi un fichier lock, un mode diff pour les PR et SARIF ; WARDEN n’est pas seul sur ce créneau.
+
+## Ce que scan ne fait pas
+
+- Il lit les définitions une fois. Un serveur qui change ensuite est repéré par l’analyse suivante, par le lock en CI, ou à chaque appel par `wrap`.
+- Il n’analyse ni les arguments ni les résultats des appels, ni les prompts, ni les resources, et ce n’est pas un bac à sable : démarrer un serveur stdio l’exécute.
+- Ses verdicts sont les règles statiques et les enregistrements de menaces de WARDEN. Une paraphrase qu’aucune règle ne couvre passe ; voir [la chaîne de portes](gates.fr.md) et l’[étude de terrain](mcp-survey.fr.md) pour ce que les règles détectent et la fréquence de leurs erreurs.

package/docs/scan.md

@@ -0,0 +1,184 @@
+# Scan the servers your MCP clients start
+
+> 🌐 **English** · [Русский](scan.ru.md) · [Español](scan.es.md) · [Français](scan.fr.md) · [中文](scan.zh.md)
+
+`warden-mcp scan` reads the MCP configuration you already have, connects to every server it starts, and vets the tool definitions before a model sees them. It is the same gate chain as [`wrap`](../README.md#protect-claude-desktop-or-cursor-with-one-wrapper) and the [library](integration.md), run once over your configs instead of in front of one server.
+
+```bash
+npx -y @aimarket/warden@0.9.0 scan
+```
+
+```text
+WARDEN scan 0.9.0 · ruleset 10 sha256-lJuKKKV5mtru… · block at high
+  read .mcp.json (claude-code, 3 servers)
+
+  ✓ allow   notes        claude-code    1 tool · score 0.90
+  ✗ BLOCK   evil-notes   claude-code    1 tool · score 0.00 · TOOL_DEF_EXFIL(notes) TOOL_DEF_SECRET_REQUEST(notes)
+  ! error   broken       claude-code    could not start: spawn /nonexistent/bin/server ENOENT
+
+3 servers: 1 allowed, 1 blocked, 1 not checked, 0 skipped.
+```
+
+No account, no API key, no model. The only network traffic is to the servers in your config, and to the HISTOR log if you pass `--histor`.
+
+## Where it looks
+
+Without arguments, every file below that exists. Pass files to scan only those, `--project` for the project files in the working directory, or `--client NAME` for one client.
+
+| Client | Project file | User file |
+|---|---|---|
+| Claude Code | `.mcp.json` | `~/.claude.json` (user servers, and this project's) |
+| Claude Desktop | — | `claude_desktop_config.json` in the app's config directory |
+| Cursor | `.cursor/mcp.json` | `~/.cursor/mcp.json` |
+| VS Code | `.vscode/mcp.json` (JSONC) | `mcp.json` in the user settings directory |
+| Windsurf | — | `~/.codeium/windsurf/mcp_config.json` |
+
+A server the config starts through `warden-mcp wrap` is scanned as the server behind the wrapper, under the pin id `wrap` uses, so drift against the approved snapshot is reported. Entries that are disabled, need an `${input:…}` value the client prompts for, or have neither `command` nor `url` are listed as skipped, never dropped silently.
+
+## Starting servers
+
+To read a stdio server's tools, `scan` starts it with the command, arguments and environment from the config, exactly as your client would, and stops it after `tools/list`. It never calls a tool. That still runs the program. Where you do not want that, such as CI on a pull request, `--no-launch` vets the launch line only: the threat feed's command records, and the lock's launch identity.
+
+Remote servers (`url`, streamable HTTP or the older HTTP+SSE) are asked over the network with the headers from the config. `--public-only` refuses any that resolve to loopback, private, link-local or cloud-metadata addresses, checked on the address actually dialled. Redirects are not followed.
+
+## Output and exit codes
+
+| Option | Writes |
+|---|---|
+| (default) | a table on stdout |
+| `--json` | the JSON report on stdout |
+| `--json-file FILE` | the JSON report to a file, alongside the table |
+| `--sarif FILE` | SARIF 2.1.0 for GitHub code scanning; blocking findings only, located at the server's line in the config |
+| `--markdown FILE` | a summary with collapsible details, for `$GITHUB_STEP_SUMMARY` or a PR comment |
+
+Exit `0`: nothing blocked. `1`: a server was blocked, or with `--fail-on-error` could not be checked. `2`: a usage or config error. `--fail-on SEVERITY` moves the block threshold; `--policy FILE` takes the same strict policy file as `wrap`.
+
+Credentials in launch lines and URLs are shown as `***`. Tool descriptions in the Markdown report are inside code blocks that the text cannot close.
+
+## The lock file: review the definitions, not just the command
+
+A config line says which program starts. It does not say what that program will tell your model. The lock records the latter, so that a pull request shows it.
+
+```bash
+warden-mcp scan --project --lock warden.lock.json --update-lock   # after reading what changed
+git add .mcp.json warden.lock.json
+```
+
+`--update-lock` writes each server's launch identity and full tool definitions, and refuses to record a server WARDEN blocks. Re-running it on unchanged servers changes nothing in the file. With `--lock` alone:
+
+- a server the lock does not know is blocked (`LOCK_MISSING`);
+- a server started differently is blocked (`SERVER_IDENTITY_DRIFT`);
+- a server that now advertises different tools is blocked (`TOOL_DEF_DRIFT`), and the Markdown report shows the change as a diff of names, descriptions and schemas.
+
+Lock entries no config starts are listed, and pruned on the next update.
+
+## GitHub Action
+
+```yaml
+name: MCP servers
+on: [pull_request]
+permissions:
+  contents: read
+  security-events: write   # only for upload-sarif
+jobs:
+  warden:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: alexar76/warden@v0.9.0
+        with:
+          upload-sarif: 'true'
+```
+
+By default it reads the project files, does not start stdio servers (a pull request chooses that program), refuses non-public addresses, uses `warden.lock.json` when it exists, writes the job summary, and fails on a blocked server. Inputs: `config`, `working-directory`, `lock`, `launch-stdio`, `public-only`, `fail-on`, `histor`, `classifier-url`, `classifier-model`, `classifier-blocks`, `sarif`, `upload-sarif`, `version`. Outputs: `blocked`, `servers`, `sarif`. Pin the action by commit SHA in production workflows.
+
+## pre-commit
+
+```yaml
+repos:
+  - repo: https://github.com/alexar76/warden
+    rev: v0.9.0
+    hooks:
+      - id: warden-scan     # changed configs; does not start stdio servers
+      - id: warden-lock     # the project matches warden.lock.json; starts stdio servers
+```
+
+Both run the published package through `npx`, so Node 20 or later must be on `PATH`.
+
+## Claude Code plugin
+
+```text
+/plugin marketplace add alexar76/warden
+/plugin install warden@warden
+```
+
+At session start it scans the servers Claude Code starts for the project, tells you which are blocked, and tells the model by name and finding code only. A blocked description never enters the model's context. Calls to tools of a blocked server, or to a blocked tool, are then denied by a `PreToolUse` hook that reads one small file and starts nothing. Details and limits: [claude-plugin/README.md](../claude-plugin/README.md).
+
+## HISTOR: is this server serving you what it serves everyone?
+
+[HISTOR](https://histor.modelmarket.dev) is a public log that records, every day, the tool definitions of every remote server in the official MCP registry. `--histor` asks it one question per remote server: is the tool set you were just served the one HISTOR observes?
+
+What is sent: the endpoint with scheme, host and path only (no query, no user name or password), and the [MTL/1](https://github.com/alexar76/awr) digest of the tool set. No tool description, no header, no stdio server. Endpoints on private hosts or addresses, and paths that look like they carry a key, are not sent at all; the report says why.
+
+| Answer | Meaning |
+|---|---|
+| `same` | You were served the set HISTOR currently observes |
+| `different` | HISTOR has never seen this set: it changed after the last daily crawl, or the server serves you something it does not serve the public crawler. Reported as advisory `HISTOR_UNSEEN_TOOLSET` |
+| `previously-observed` | A set HISTOR saw earlier, not the current one. Advisory `HISTOR_OLDER_TOOLSET` |
+| `not-listed`, `not-observed` | HISTOR does not know this endpoint, or has not read it successfully |
+
+HISTOR answers never block. An outage is reported and the scan continues.
+
+## The optional classifier
+
+WARDEN's rules are offline and deterministic, and they miss what no rule names: a paraphrase, an instruction in another language. `--classifier-url` and `--classifier-model` add a second opinion from a model you choose, through any OpenAI-compatible endpoint: a local Ollama, vLLM or LM Studio, or a hosted API.
+
+```bash
+warden-mcp scan --classifier-url http://localhost:11434/v1 --classifier-model qwen2.5:14b
+WARDEN_CLASSIFIER_API_KEY=… warden-mcp scan --classifier-url https://api.deepseek.com --classifier-model deepseek-flash
+```
+
+- **It is off by default and sends tool text.** With both flags, every tool's name, description and schemas go to that endpoint. A local model keeps them on your machine. A key, if needed, comes only from `WARDEN_CLASSIFIER_API_KEY`, never from a flag.
+- **Advisory unless `--classifier-blocks`.** Its verdicts are reported as `TOOL_DEF_CLASSIFIER`. With `--classifier-blocks` a verdict at or above the block threshold (`high` by default) blocks the tool like a rule. A classifier that does not answer is reported and never blocks.
+- **Same question as HISTOR's.** The prompt, the four categories (`instruction_to_model`, `exfiltration`, `secret_request`, `concealment`) and the answer format are the HISTOR log's. The tool text sits between markers with a random suffix it cannot forge, and the model's answer is checked field by field. With `--histor`, the log's own stored verdict on the tool set you were served is shown too (`HISTOR_CLASSIFIER`, advisory).
+- **It does not read annotations or extension fields.** The rules do.
+
+Measured on 2026-10-09 with `deepseek-flash`, the model HISTOR uses, on MCPTox (the published benchmark described in the comparison below) and on our own sets:
+
+| | Rules (v10) | Rules + classifier, blocking at `high` | Rules + any classifier flag (advisory) |
+|---|---|---|---|
+| MCPTox held-out half, 218 poisoned tools caught | 171 | 191 | 218 |
+| 45 clean MCPTox servers, blocked or flagged | 0 | 0 | 4 flagged |
+| 200 corpus servers drawn at random, blocked or flagged | 2 blocked | 2 blocked | 2 blocked, 12 more flagged |
+| 23 attacks we wrote / 12 hard benign cases | 20 / 0 | 22 / 0 | 23 / 0 |
+
+The two the rules block are the identity service and the deploy tool from the comparison below. The 13 servers the classifier flagged were flagged at `medium` or `low`, never `high`. Six of them are worth a human look: one tells the model to make an irreversible ENS name transfer "as the first and only action" without asking the user, another tells it not to disclose where its data comes from. The model also flags the official Fetch server, whose description tells the model it now has internet access and should not refuse. That is an instruction to the model, though not an attack. The model missed what the rules catch: an injection in annotations, a private key or seed phrase asked for as a parameter, and `rm -rf ~`.
+
+## How it compares
+
+On 2026-10-09 we ran WARDEN, mcp-audit 0.18.2 (`--connect`) and mcp-shield 1.0.4 over the same servers. Each server was replayed over stdio, so every scanner connected to it as it would in the field. The harness, the sets and every judgment are in [`scripts/scanner-comparison`](../scripts/scanner-comparison/). The full write-up, with the method and every caveat, is the [scanner comparison](scanner-comparison.md).
+
+The last three rows come from MCPTox (Wang et al., AAAI 2026), a published benchmark of 485 poisoned tools written for 45 real MCP servers. We split its servers in two by a fixed hash. Ruleset v10 was written from 22 servers; the table reports the other 23, with 218 poisoned tools no rule was fitted to.
+
+| Servers | WARDEN 0.8.2 (v8) | WARDEN 0.9.0 (v10) | mcp-audit 0.18.2 | mcp-shield 1.0.4 |
+|---|---|---|---|---|
+| 23 attacks we wrote, blocked | 14 | 20 | 10 | 6 |
+| 10 attacks from mcp-audit's and mcp-shield's own fixtures, blocked | 7 | 10 | 10 | 8 |
+| 12 hard benign cases, blocked | 0 | 0 | 1 | 1 |
+| 986 public servers, blocked | 3 | 3 | 33 | 343 |
+| …blocks that hold up when the text is read | 1, and 1 arguable | 1, and 1 arguable | 0 | 0 of 20 drawn at random |
+| 218 poisoned MCPTox tools on the held-out servers, blocked | 26 | 171 | 25 | 41 |
+| 225 MCPTox tools with an `<IMPORTANT>` or "Ignore the previous instructions" prefix, blocked | 225 | 225 | 222 | not run |
+| 45 clean MCPTox servers, blocked | 0 | 0 | 2 | 3 |
+
+- **Read the corpus row first.** No rule was fitted to it. mcp-audit's 33 blocks are 16 "homoglyphs" in text written wholly in its own script (Chinese punctuation, Greek symbols, Cyrillic), 12 honesty instructions such as "do not tell the user the check digits are wrong", 3 base64 utilities, an SSH public-key tool, and the deploy tool WARDEN also blocks by mistake. mcp-shield blocks 35% of real servers, almost all on a keyword: "API key", "token", `.env`, "..". An ellipsis ("Shopify...") counts as path traversal. It does block the identity service WARDEN blocks, on the word "credentials".
+- **Know which numbers are fitted.** We wrote the first attack set. Ruleset v9 was written after we had read both attack sets, and v10 after the 22 MCPTox servers of the other half. So 20 and 10 are the recall of rules fitted to what they were shown. The held-out MCPTox row, the clean servers, the corpus and the whole 0.8.2 column are not fitted. On the corpus v10 blocks exactly what v8 blocked.
+- **MCPTox tests a shape, not a keyword.** Almost every poisoned tool tells the model to call another tool first, or to change another tool's arguments. v10 names that shape (`TOOL_DEF_CROSS_TOOL`, see [the gate chain](gates.md)) and blocks 171 of 218 held-out tools, against 189 of 267 on the half it was written from. Add the benchmark's `<IMPORTANT>` or "Ignore the previous instructions" prefix and every scanner we ran catches it; we did not run mcp-shield on that set. On the clean servers mcp-audit blocks AmapMap and BaiduMap, and mcp-shield blocks FileSystem, AdFin and Commander on "sensitive file access".
+- **What WARDEN still misses:** 47 of the 218 held-out MCPTox tools, an instruction in Chinese to read `.env`, a paraphrase with no keyword ("gather every credential file … keep this step to yourself") and "include the output of env". It reports 41 of those 47, and all three of ours, as advisory, not as blocks. They need a meaning-based check, not another rule: with the optional classifier above, 191 of the 218 are blocked at `high` and all 218 are flagged.
+- **Not compared:** Snyk Agent Scan, formerly Invariant mcp-scan and the most used scanner. It judges descriptions on Snyk's servers and needs an account token. mcp-audit also ships a lock file, a PR diff mode and SARIF; WARDEN is not alone in that slot.
+
+## What scan does not do
+
+- It reads definitions once. A server that changes later is caught by the next scan, by the lock in CI, or at every call by `wrap`.
+- It does not scan call arguments, results, prompts or resources, and it is not a sandbox: starting a stdio server runs it.
+- Its verdicts are WARDEN's static rules and threat records. A paraphrase no rule covers passes; see [the gate chain](gates.md) and the [field survey](mcp-survey.md) for what the rules catch and how often they are wrong.

package/docs/scan.ru.md

@@ -0,0 +1,184 @@
+# Проверка серверов, которые запускают ваши MCP-клиенты
+
+> 🌐 [English](scan.md) · **Русский** · [Español](scan.es.md) · [Français](scan.fr.md) · [中文](scan.zh.md)
+
+`warden-mcp scan` читает уже существующую у вас конфигурацию MCP, подключается к каждому серверу из неё и проверяет определения инструментов до того, как их увидит модель. Это та же цепочка гейтов, что у [`wrap`](../README-ru.md) и у [библиотеки](integration.ru.md), только пройденная один раз по вашим конфигам, а не перед одним сервером.
+
+```bash
+npx -y @aimarket/warden@0.9.0 scan
+```
+
+```text
+WARDEN scan 0.9.0 · ruleset 10 sha256-lJuKKKV5mtru… · block at high
+  read .mcp.json (claude-code, 3 servers)
+
+  ✓ allow   notes        claude-code    1 tool · score 0.90
+  ✗ BLOCK   evil-notes   claude-code    1 tool · score 0.00 · TOOL_DEF_EXFIL(notes) TOOL_DEF_SECRET_REQUEST(notes)
+  ! error   broken       claude-code    could not start: spawn /nonexistent/bin/server ENOENT
+
+3 servers: 1 allowed, 1 blocked, 1 not checked, 0 skipped.
+```
+
+Без аккаунта, без API-ключа, без модели. Сетевой трафик идёт только к серверам из вашего конфига и, если передан `--histor`, к журналу HISTOR.
+
+## Где он ищет
+
+Без аргументов — каждый существующий файл из таблицы. Передайте файлы, чтобы проверить только их; `--project` — только файлы проекта в рабочем каталоге; `--client NAME` — один клиент.
+
+| Клиент | Файл проекта | Файл пользователя |
+|---|---|---|
+| Claude Code | `.mcp.json` | `~/.claude.json` (серверы пользователя и этого проекта) |
+| Claude Desktop | — | `claude_desktop_config.json` в каталоге конфигурации приложения |
+| Cursor | `.cursor/mcp.json` | `~/.cursor/mcp.json` |
+| VS Code | `.vscode/mcp.json` (JSONC) | `mcp.json` в каталоге пользовательских настроек |
+| Windsurf | — | `~/.codeium/windsurf/mcp_config.json` |
+
+Сервер, который конфиг запускает через `warden-mcp wrap`, проверяется как сервер за обёрткой и под тем же id пина, что использует `wrap`, поэтому дрейф относительно одобренного снимка попадает в отчёт. Выключенные записи, записи с значением `${input:…}`, которое клиент спрашивает у пользователя, и записи без `command` и `url` показываются как пропущенные и никогда не исчезают молча.
+
+## Запуск серверов
+
+Чтобы прочитать инструменты stdio-сервера, `scan` запускает его с командой, аргументами и окружением из конфига — ровно так, как это сделал бы клиент, — и останавливает после `tools/list`. Инструменты он не вызывает никогда. Но программа при этом всё равно выполняется. Там, где это нежелательно, например в CI на pull request, `--no-launch` проверяет только строку запуска: по записям threat feed о командах и по идентичности запуска из лок-файла.
+
+Удалённые серверы (`url`, streamable HTTP или старый HTTP+SSE) опрашиваются по сети с заголовками из конфига. `--public-only` отказывает тем, что разрешаются в loopback, частные, link-local адреса или адрес облачных метаданных; проверяется адрес, к которому реально идёт подключение. Редиректы не выполняются.
+
+## Вывод и коды выхода
+
+| Опция | Что пишет |
+|---|---|
+| (по умолчанию) | таблицу в stdout |
+| `--json` | JSON-отчёт в stdout |
+| `--json-file FILE` | JSON-отчёт в файл, вместе с таблицей |
+| `--sarif FILE` | SARIF 2.1.0 для GitHub code scanning; только блокирующие находки, с указанием строки сервера в конфиге |
+| `--markdown FILE` | сводку со сворачиваемыми подробностями для `$GITHUB_STEP_SUMMARY` или комментария к PR |
+
+Код `0`: ничего не заблокировано. `1`: сервер заблокирован или, с `--fail-on-error`, его не удалось проверить. `2`: ошибка использования или конфига. `--fail-on SEVERITY` сдвигает порог блокировки; `--policy FILE` принимает тот же строгий файл политики, что и `wrap`.
+
+Учётные данные в строках запуска и URL показываются как `***`. Описания инструментов в Markdown-отчёте стоят внутри блоков кода, которые этот текст не может закрыть.
+
+## Лок-файл: ревьюим определения, а не только команду
+
+Строка конфига говорит, какая программа запускается. Она не говорит, что эта программа скажет вашей модели. Лок-файл записывает второе, чтобы pull request это показал.
+
+```bash
+warden-mcp scan --project --lock warden.lock.json --update-lock   # после того как прочли, что изменилось
+git add .mcp.json warden.lock.json
+```
+
+`--update-lock` записывает для каждого сервера идентичность запуска и полные определения инструментов и отказывается записывать сервер, который WARDEN блокирует. Повторный запуск на неизменных серверах файл не меняет. С одним `--lock`:
+
+- сервер, которого нет в лок-файле, блокируется (`LOCK_MISSING`);
+- сервер, запускаемый иначе, блокируется (`SERVER_IDENTITY_DRIFT`);
+- сервер, который теперь объявляет другие инструменты, блокируется (`TOOL_DEF_DRIFT`), а Markdown-отчёт показывает изменение диффом имён, описаний и схем.
+
+Записи лок-файла, которые не запускает ни один конфиг, перечисляются и удаляются при следующем обновлении.
+
+## GitHub Action
+
+```yaml
+name: MCP servers
+on: [pull_request]
+permissions:
+  contents: read
+  security-events: write   # нужно только для upload-sarif
+jobs:
+  warden:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: alexar76/warden@v0.9.0
+        with:
+          upload-sarif: 'true'
+```
+
+По умолчанию Action читает файлы проекта, не запускает stdio-серверы (эту программу выбирает pull request), отказывает непубличным адресам, использует `warden.lock.json`, если он есть, пишет сводку задания и падает на заблокированном сервере. Входы: `config`, `working-directory`, `lock`, `launch-stdio`, `public-only`, `fail-on`, `histor`, `classifier-url`, `classifier-model`, `classifier-blocks`, `sarif`, `upload-sarif`, `version`. Выходы: `blocked`, `servers`, `sarif`. В боевых workflow закрепляйте Action по SHA коммита.
+
+## pre-commit
+
+```yaml
+repos:
+  - repo: https://github.com/alexar76/warden
+    rev: v0.9.0
+    hooks:
+      - id: warden-scan     # изменённые конфиги; stdio-серверы не запускаются
+      - id: warden-lock     # проект соответствует warden.lock.json; stdio-серверы запускаются
+```
+
+Оба хука запускают опубликованный пакет через `npx`, поэтому в `PATH` нужен Node 20 или новее.
+
+## Плагин Claude Code
+
+```text
+/plugin marketplace add alexar76/warden
+/plugin install warden@warden
+```
+
+В начале сессии плагин проверяет серверы, которые Claude Code запускает для проекта, сообщает вам, какие из них заблокированы, а модели — только имя и код находки. Описание заблокированного инструмента никогда не попадает в контекст модели. Вызовы инструментов заблокированного сервера или заблокированного инструмента затем запрещает хук `PreToolUse`: он читает один небольшой файл и ничего не запускает. Подробности и ограничения: [claude-plugin/README.md](../claude-plugin/README.md).
+
+## HISTOR: отдаёт ли сервер вам то же, что всем?
+
+[HISTOR](https://histor.modelmarket.dev) — публичный журнал, который каждый день записывает определения инструментов всех удалённых серверов из официального реестра MCP. `--histor` задаёт ему один вопрос о каждом удалённом сервере: тот ли это набор инструментов, который видит HISTOR?
+
+Что отправляется: адрес эндпоинта — только схема, хост и путь (без query, без имени пользователя и пароля) — и дайджест набора инструментов по [MTL/1](https://github.com/alexar76/awr). Ни описаний инструментов, ни заголовков, ни stdio-серверов. Эндпоинты на частных хостах и адресах, а также пути, похожие на содержащие ключ, не отправляются вовсе; отчёт объясняет почему.
+
+| Ответ | Значение |
+|---|---|
+| `same` | Вам отдали тот набор, который HISTOR видит сейчас |
+| `different` | HISTOR никогда не видел этот набор: он изменился после последнего ежедневного обхода, или сервер отдаёт вам не то, что публичному краулеру. Попадает в отчёт как рекомендательная находка `HISTOR_UNSEEN_TOOLSET` |
+| `previously-observed` | Набор, который HISTOR видел раньше, но не текущий. Рекомендательная находка `HISTOR_OLDER_TOOLSET` |
+| `not-listed`, `not-observed` | HISTOR не знает этот эндпоинт или ещё ни разу не прочитал его успешно |
+
+Ответы HISTOR никогда не блокируют. Если HISTOR недоступен, это попадает в отчёт, а проверка продолжается.
+
+## Необязательный классификатор
+
+Правила WARDEN работают офлайн и детерминированно, и они пропускают то, что не названо ни одним правилом: перефразировку, инструкцию на другом языке. `--classifier-url` и `--classifier-model` добавляют второе мнение модели, которую выбираете вы, через любой OpenAI-совместимый адрес: локальный Ollama, vLLM или LM Studio либо облачный API.
+
+```bash
+warden-mcp scan --classifier-url http://localhost:11434/v1 --classifier-model qwen2.5:14b
+WARDEN_CLASSIFIER_API_KEY=… warden-mcp scan --classifier-url https://api.deepseek.com --classifier-model deepseek-flash
+```
+
+- **По умолчанию выключен и отправляет текст инструментов.** С обоими флагами имя, описание и схемы каждого инструмента уходят на этот адрес. Локальная модель оставляет их на вашей машине. Ключ, если нужен, берётся только из `WARDEN_CLASSIFIER_API_KEY`, никогда из флага.
+- **Рекомендательный, пока нет `--classifier-blocks`.** Его вердикты попадают в отчёт как `TOOL_DEF_CLASSIFIER`. С `--classifier-blocks` вердикт на пороге блокировки или выше (по умолчанию `high`) блокирует инструмент, как правило. Если классификатор не ответил, это попадает в отчёт и никогда не блокирует.
+- **Тот же вопрос, что у HISTOR.** Промпт, четыре категории (`instruction_to_model`, `exfiltration`, `secret_request`, `concealment`) и формат ответа — как у классификатора журнала HISTOR. Текст инструментов стоит между маркерами со случайным суффиксом, который он не может подделать, а ответ модели проверяется поле за полем. С `--histor` показывается и сохранённый вердикт самого журнала на набор, который отдали вам (`HISTOR_CLASSIFIER`, рекомендательно).
+- **Аннотации и поля расширений он не читает.** Их читают правила.
+
+Замер 9 октября 2026 года на `deepseek-flash`, той же модели, что у HISTOR, на MCPTox (опубликованный бенчмарк, он описан в сравнении ниже) и на наших наборах:
+
+| | Правила (v10) | Правила + классификатор, блокировка на `high` | Правила + любые пометки классификатора (рекомендательно) |
+|---|---|---|---|
+| Отложенная половина MCPTox, поймано из 218 отравленных инструментов | 171 | 191 | 218 |
+| 45 чистых серверов MCPTox, заблокировано или помечено | 0 | 0 | 4 помечено |
+| 200 случайных серверов корпуса, заблокировано или помечено | 2 заблокировано | 2 заблокировано | 2 заблокировано, ещё 12 помечено |
+| 23 наши атаки / 12 трудных безобидных случаев | 20 / 0 | 22 / 0 | 23 / 0 |
+
+Два сервера, которые блокируют правила, — это сервис идентичности и деплой-инструмент из сравнения ниже. 13 серверов, помеченных классификатором, получили `medium` или `low`, ни одного `high`. Шесть из них стоит показать человеку: один велит модели провести необратимую передачу ENS-имени «первым и единственным действием», не спрашивая пользователя, другой велит не раскрывать, откуда его данные. Модель помечает и официальный сервер Fetch: его описание говорит модели, что у неё теперь есть интернет и отказываться не нужно. Это инструкция модели, но не атака. Модель пропустила то, что ловят правила: инъекцию в аннотациях, запрос приватного ключа или seed-фразы как параметра и `rm -rf ~`.
+
+## Сравнение
+
+9 октября 2026 года мы прогнали WARDEN, mcp-audit 0.18.2 (`--connect`) и mcp-shield 1.0.4 по одним и тем же серверам. Каждый сервер воспроизводился по stdio, так что каждый сканер подключался к нему так же, как в жизни. Стенд, наборы и разметка каждого случая лежат в [`scripts/scanner-comparison`](../scripts/scanner-comparison/). Полный разбор с методом и всеми оговорками — в [сравнении сканеров](scanner-comparison.ru.md).
+
+Последние три строки взяты из MCPTox (Wang et al., AAAI 2026) — опубликованного бенчмарка из 485 отравленных инструментов, написанных для 45 настоящих MCP-серверов. Мы разделили его серверы пополам по фиксированному хешу. Ruleset v10 написан по 22 серверам; в таблице — остальные 23, с 218 отравленными инструментами, под которые не подгонялось ни одно правило.
+
+| Серверы | WARDEN 0.8.2 (v8) | WARDEN 0.9.0 (v10) | mcp-audit 0.18.2 | mcp-shield 1.0.4 |
+|---|---|---|---|---|
+| 23 атаки, написанные нами, заблокировано | 14 | 20 | 10 | 6 |
+| 10 атак из фикстур самих mcp-audit и mcp-shield, заблокировано | 7 | 10 | 10 | 8 |
+| 12 трудных безобидных случаев, заблокировано | 0 | 0 | 1 | 1 |
+| 986 публичных серверов, заблокировано | 3 | 3 | 33 | 343 |
+| …из них по делу, если прочитать текст | 1 и 1 спорный | 1 и 1 спорный | 0 | 0 из 20 случайно выбранных |
+| 218 отравленных инструментов MCPTox на отложенных серверах, заблокировано | 26 | 171 | 25 | 41 |
+| 225 инструментов MCPTox с префиксом `<IMPORTANT>` или «Ignore the previous instructions», заблокировано | 225 | 225 | 222 | не запускали |
+| 45 чистых серверов MCPTox, заблокировано | 0 | 0 | 2 | 3 |
+
+- **Сначала читайте строку корпуса.** Под неё не подгонялось ни одно правило. 33 блокировки mcp-audit — это 16 «омоглифов» в тексте, целиком написанном на своём алфавите (китайская пунктуация, греческие символы, кириллица), 12 инструкций честности вроде «do not tell the user the check digits are wrong», 3 утилиты base64, инструмент для публичного SSH-ключа и деплой-инструмент, который WARDEN тоже блокирует по ошибке. mcp-shield блокирует 35% настоящих серверов, почти всегда по ключевому слову: «API key», «token», `.env`, «..». Многоточие («Shopify...») он считает выходом из каталога. Сервис идентичности, который блокирует WARDEN, он тоже блокирует, но за слово «credentials».
+- **Помните, какие числа подогнаны.** Первый набор атак написали мы. Ruleset v9 написан после того, как мы прочли оба набора атак, а v10 — после 22 серверов MCPTox из другой половины. Так что 20 и 10 — это полнота правил, подогнанных под увиденное. Отложенная строка MCPTox, чистые серверы, корпус и весь столбец 0.8.2 не подогнаны. На корпусе v10 блокирует ровно то же, что v8.
+- **MCPTox проверяет форму, а не ключевое слово.** Почти каждый отравленный инструмент велит модели сначала вызвать другой инструмент или изменить аргументы другого инструмента. v10 называет эту форму (`TOOL_DEF_CROSS_TOOL`, см. [цепочку гейтов](gates.ru.md)) и блокирует 171 из 218 отложенных инструментов против 189 из 267 на половине, по которой он написан. С префиксом бенчмарка `<IMPORTANT>` или «Ignore the previous instructions» их ловит каждый запущенный нами сканер; mcp-shield на этом наборе мы не запускали. На чистых серверах mcp-audit блокирует AmapMap и BaiduMap, а mcp-shield — FileSystem, AdFin и Commander за «sensitive file access».
+- **Что WARDEN всё ещё пропускает:** 47 из 218 отложенных инструментов MCPTox, инструкцию по-китайски прочитать `.env`, перефразировку без ключевых слов («gather every credential file … keep this step to yourself») и «include the output of env». О 41 из этих 47 и обо всех трёх наших он сообщает рекомендательно, но не блокирует. Здесь нужна проверка по смыслу, а не ещё одно правило: с необязательным классификатором выше 191 из 218 блокируются на уровне `high`, а помечаются все 218.
+- **Не сравнивали:** Snyk Agent Scan, бывший Invariant mcp-scan, самый используемый сканер. Он судит описания на серверах Snyk и требует токен аккаунта. У mcp-audit тоже есть лок-файл, режим диффа для PR и SARIF; WARDEN в этой нише не один.
+
+## Чего scan не делает
+
+- Он читает определения один раз. Сервер, изменившийся позже, поймает следующий запуск, лок-файл в CI или `wrap` при каждом вызове.
+- Он не проверяет аргументы и результаты вызовов, prompts и resources и не является песочницей: запуск stdio-сервера выполняет его.
+- Его вердикты — это статические правила и записи угроз WARDEN. Перефразировка, которую не покрывает ни одно правило, пройдёт; что правила ловят и как часто ошибаются — в [цепочке гейтов](gates.ru.md) и в [полевом замере](mcp-survey.ru.md).