adudley78/mcp-audit가 v0.28.0을 공개했다. MCP(Model Context Protocol) 서버 설정을 훑어 프롬프트 인젝션, 자격 증명 노출, 공급망 위험을 찾는 보안 스캐너다. 2026-11-06 커밋(0e984ef)이 담고 있는 이번 버전의 실질 변화는 `reach` 명령에 `--fail-closed` 옵션이 추가된 것이다.
`reach`는 각 에이전트의 준비 상태를 카드로 모아 보여 주는 검사다. 기본값은 모든 에이전트가 준비됐거나 확인이 불가능할 때 종료 코드 0을 내고, 에이전트를 하나도 찾지 못한 경우에도 0이다. 사람이 카드를 읽을 때는 편하지만 자동화된 게이트에서는 확인하지 못한 결과가 통과로 읽힐 수 있다. `--fail-closed`를 붙이면 에이전트를 못 찾거나 어떤 에이전트의 판정이 `couldn't check`이거나 스캔 중 수집 오류가 기록된 경우 종료 코드가 1이 되고, 사유는 stderr로 출력된다. `--fleet`를 함께 쓰면 건너뛴 파일이나 읽은 것보다 많은 파일, 에이전트가 없는 기기, 보고서에 오류가 남은 기기에서도 실패하며, fleet 리더는 이제 각 보고서의 `errors` 항목까지 센다. 대화형 기본값은 그대로다. 종료 코드의 전체 표는 docs/reach.md에 담겨 있다.
이 수정은 2026-11-06, Alekore Systems의 Rene Atencio가 저장소를 검토하며 발견한 fail-open(실패해도 통과) 종료 문제를 고친 결과로, CHANGELOG에 감사 표기가 실렸다. 다만 대화형 기본 동작이 그대로여서 기존 사용자의 흐름은 변하지 않고, CI 게이트를 엄격하게 하려면 `--fail-closed`를 직접 지정해야 한다. 이번 커밋은 72개 파일에서 38줄을 추가하고 34줄을 삭제했는데, 대부분 v0.27.0에서 v0.28.0으로 바뀐 버전 표기와 CHANGELOG 항목이고 탐지 정확도나 성능을 바꾼 내용은 기록되어 있지 않다. MCP 설정 검사를 CI에 붙인 팀에는 그대로 쓸 만한 수정이지만, 게이트의 엄격함을 바꾸는 기능일 뿐 탐지 능력 자체를 높이는 변경으로 보기는 이르다.