Keep API keys out of AI coding sessions with local scanning, OS secret storage, and guarded CLI deployment.
Dedotto dai trasporti dichiarati da questo annuncio (stdio). Un client che non compare qui non è escluso — semplicemente Forge non è in grado di confermarlo.
La verifica conferma l’identità del publisher (la proprietà del repo), non la sicurezza del codice. L’analisi di sicurezza copre i CVE noti e gli script di installazione sospetti.
Letto dal codice che npm distribuisce davvero, al momento dell’analisi. Il pacchetto non è mai stato eseguito. Gli strumenti registrati dinamicamente a runtime, o nascosti in codice impacchettato o minificato, possono sfuggire — quindi questo è un limite inferiore della superficie di strumenti, non un censimento completo.
list_required_secretsList the environment variable names this project needs, from .env.example and source usage. Never returns values.List the environment variable names this project needs, from .env.example and source usage. Never returns values.
Per questo strumento non è stato pubblicato alcuno schema di input.
check_secretReport whether a named secret is registered in the OS secret store. Returns registered/missing only, never the value.Report whether a named secret is registered in the OS secret store. Returns registered/missing only, never the value.
Per questo strumento non è stato pubblicato alcuno schema di input.
save_secretNever accepts or stores a value. Returns an action_required response for the Agent-independent `api-key-case save --ask` Human Plane.Never accepts or stores a value. Returns an action_required response for the Agent-independent `api-key-case save --ask` Human Plane.
Per questo strumento non è stato pubblicato alcuno schema di input.
deploy_secretrischio di injectionSend a registered secret to a deploy target via its official CLI. Production (and github, always CI-reachable) never completes here — returns an action_required response for a human to run the CLI and use its separate Human Plane. Terminal input cannot approve it.Send a registered secret to a deploy target via its official CLI. Production (and github, always CI-reachable) never completes here — returns an action_required response for a human to run the CLI and use its separate Human Plane. Terminal input cannot approve it.
Send a registered secret to a deploy target via its official CLI. Production (and gi…Per questo strumento non è stato pubblicato alcuno schema di input.
generate_env_exampleWrite or refresh .env.example with empty-valued keys for every required secret.Write or refresh .env.example with empty-valued keys for every required secret.
Per questo strumento non è stato pubblicato alcuno schema di input.
scan_secret_leaksScan the project for possible leaked secret values outside ignored env files. Findings are redacted, never the raw value.Scan the project for possible leaked secret values outside ignored env files. Findings are redacted, never the raw value.
Per questo strumento non è stato pubblicato alcuno schema di input.
check_gitignoreReport whether .env and its variants are covered by .gitignore.Report whether .env and its variants are covered by .gitignore.
Per questo strumento non è stato pubblicato alcuno schema di input.
7 strumenti su 7 hanno pubblicato una descrizione.
I nomi e le descrizioni degli strumenti sono scritti dal publisher e mostrati alla lettera come testo inerte. Sono le stringhe che un client MCP passa a un modello, quindi Forge vi cerca schemi di prompt injection — ogni rilievo compare insieme all’analisi di sicurezza qui sopra. «Privilegiato» è una corrispondenza di parola chiave sul nome dello strumento, non una verifica di ciò che fa: un nome innocuo può comunque fare qualsiasi cosa.
Keep API keys out of AI coding sessions with local scanning, OS secret storage, and guarded CLI deployment.
I nomi collegati aprono l’indice Forge di tutte le voci osservate esporre quello strumento. Sfoglia tutti gli strumenti indicizzati.
La scansione si è fermata al limite di 60 pacchetti. Il resto dell'albero non è mai stato risolto.
Altri 36 pacchetti risolti non vengono disegnati qui (limite di visualizzazione: 24). Ogni dipendenza con un avviso di sicurezza viene disegnata comunque. Inventario completo (SBOM CycloneDX)
57 dipendenze dichiarate non sono mai arrivate nell'albero. Mancano dalla risoluzione di Forge, non dal pacchetto.
+45 altre non elencate. I conteggi per motivo qui sopra le comprendono tutte.
Non seguite: optionalDependencies, peerDependencies. Questo albero copre solo le dipendenze di runtime, quindi ciò che queste comportano non è mai stato risolto.