mcp-sentinel は、エージェントが外部ツールと通信するための標準プロトコルである MCP のサーバの手前に置かれたセキュリティ制御層である。リポジトリの説明では、ユーザー・エージェント・サーバ・ツールをそれぞれ検証して RBAC と最小権限を強制し、危険なツール呼び出し順序とプロンプトインジェクション（prompt injection）を検出すると説明している。2026年10月15日 06:07 UTC のコミット 17ebf36 がこのリポジトリの最初のコミットであり、一度に 32,050 行を追加し、削除された行はない。
このコミットが示している範囲は鮮明である。.env.example はゲートウェイを 127.0.0.1:8443 に固定し、許可ホストと CORS オリジンを直接記載しており、リスクスコアの基準値を 40（制限）、60（MFA 要求）、80（ブロック）に分けている。同じファイルには、ツール定義ハッシュのピニング、15秒間隔のツール完全性検査、60秒周期のサーバ探索、出力 DLP マスキング、許可イグレスドメインリスト、RS256 ベースの JWT 検証も含まれている。コミットには React ダッシュボード（dashboard/）も併せて含まれ、Alerts、Approvals、Audit、Policy、Scanner、Servers の各画面はそれぞれ分離されている。
DEMO.md は、公式リファレンス MCP サーバを Sentinel の後ろにつなぎ、Claude に4つのメタツールだけを見せる流れを18分のスクリプトとしてまとめている。サーバを登録すると、ツールごとに安全性判定と毒性検査、分類（READ、WRITE、EXTERNAL_LOOKUP など）、脆弱性スキャンのグレードが付与され、Docker が起動していれば、ローカルのツール呼び出しはすべてコンテナ内で先に実行される。DEMO.md は、ファイルシステム・Fetch・Memory の3サーバがすべて SAFE 判定と A グレードを得ると記載しているが、さらにその数値は同一スクリプトを事前にリハーサルした結果であり、リスクスコアはタイミングと履歴によって数点変動すると付け加えている。
判断はここで止まる。コミットは初回のものだけで、変更履歴もリリース記録もなく、ライセンスとスター数、外部評価結果も提示された資料には存在しない。DEMO.md は、Docker なしで実行する場合はプロセスサンドボックスに置き換え、隔離なしで動作すると明かしている。また、Claude Desktop 内蔵の Filesystem 拡張を有効にしておくと Sentinel を迂回してファイルを読み取られるため、切るように警告している。デフォルトの認証モードも demo である。セキュリティ制御層であるという主張を第三者が検証した資料はまだ存在しないため、実際に運用に用いるかどうかは環境テスト後に判断するのが妥当である。