TollWarden

Name: TollWarden
Author: tollwarden

作者：tollwardenバージョン 1.6.0i★ –iパソコンで動く

レジストリ名com.tollwarden/tollwarden

インストール

概要

作者による説明（英語の原文）

Screens x402 payments before settlement for injected payee addresses and sellers who never deliver.

PopNx MCPの3つの柱

この3つを1つのスコアにまとめることはしません。意見、測定、人気はそれぞれ別のものだからです。

利用者の声iレビューはまだありませんレビューは今後のステップで、アカウント機能と一緒に始まります
私たちの基本チェックi1項目中1項目に合格公開情報からチェック。コードはまだスキャンしていません
利用状況i未計測★ –

できること

このサーバーのやさしい解説はまだ書いていません。以下はレジストリから読み取った事実です。

接続方法: パソコンで動く
トランスポート: stdio
カテゴリ: その他

インストール

使っているAIアプリを選んで、設定をコピーしてください。

インストールの前に

基本チェック：1項目中1項目に合格
あなたのパソコンで、あなたのユーザーと同じ権限（ファイル、ネットワーク、アプリ）で動きます。
レジストリには、入力が必要なキーは載っていません。

必要なもの

npmNode.jsのインストール（npxコマンドに必要）

どのアプリを使っていますか？

ClaudeClaude CodeCursorVS CodeChatGPT

上でアプリを選んでください。選んだアプリを覚えておくので、次からはボタンに「…にインストール」と表示されます。

Claude Desktop → Settings → Developer → Edit Config を開き、claude_desktop_config.json にこれを貼り付けます

{
  "mcpServers": {
    "tollwarden": {
      "command": "npx",
      "args": [
        "-y",
        "tollwarden"
      ]
    }
  }
}

ターミナルでこれを実行します

claude mcp add tollwarden -- npx -y tollwarden

Cursorで開く

または、設定を自分でコピーする

プロジェクトの .cursor/mcp.json、または ~/.cursor/mcp.json に貼り付けます

{
  "mcpServers": {
    "tollwarden": {
      "command": "npx",
      "args": [
        "-y",
        "tollwarden"
      ]
    }
  }
}

ブラウザがアプリを開いてよいか確認し、そのあとアプリが設定を表示して確認を求めます。キーの値は空欄のままなので、自分で入力してください。

VS Codeで開く

または、設定を自分でコピーする

プロジェクトの .vscode/mcp.json に貼り付けます

{
  "servers": {
    "tollwarden": {
      "type": "stdio",
      "command": "npx",
      "args": [
        "-y",
        "tollwarden"
      ]
    }
  }
}

これはパソコンで動くサーバーですが、ChatGPTがつなげるのはインターネット上のサーバーだけです。ほかのアプリを選んでください。

選んだアプリは、この端末のCookieに保存されます。アカウントは不要です。

この設定は、作者のレジストリ登録情報から作成しています。READMEと違う場合は、READMEに従ってください。

できること

パソコンで動くサーバーです。インストールすると、ツール一覧がAIアプリに表示されます。

基本チェックi

誰でも見られる情報をチェックしており、コードは読んでいません。当てはまらない項目は数に入れていません。 · 2026年11月6日にチェック

✓ 合格
作者とリポジトリが一致
レジストリ名はドメイン tollwarden.com で確認済みです（レジストリがドメインの所有を確認しています）
… 未チェック
今もメンテナンスされている
このリポジトリはまだGitHubから読み取っていません
… 未チェック
ライセンスがある
このリポジトリはまだGitHubから読み取っていません
– 対象外
エンドポイントが応答する
これはパソコンで動くため、インターネット上のエンドポイントはありません
– 対象外
OAuthでサインイン
パソコンで動き、代わりにローカルの設定を使います
… 未チェック
ツールの説明に隠れた指示がない
パソコンで動くサーバーです。ツール一覧を読み取れるのは、インターネット上のエンドポイントがある場合だけです

その他のほかのサーバーとの比較i

このカテゴリのほかの32476件のうち0%よりスターが多い
このカテゴリのほかの32476件のうち48%より最近レジストリに公開
基本チェックの結果が、このカテゴリのほかの32476件のうち100%と同じかそれ以上

レジストリでこのカテゴリにある有効なすべてのサーバーと比較しています。スターは、公開者がリポジトリの所有者である場合だけ数えます。

よくある質問

TollWardenは安全ですか？

当てはまる基本チェック1項目のうち1項目に合格しました。コードは読んでいません。キーやトークンを追加する前に、サーバーがどんなアクセスを求めているかを確認し、必要な権限だけを持つキーを使ってください。

どんなキーやコードが必要ですか？

レジストリには必須のキーは載っていません。ただし、最初に使うときにサインインを求めるサーバーもあります。

パソコンで動きますか、それともクラウドですか？

あなたのパソコンで動きます。必要なときにAIアプリが起動し、データは作者のサーバーを通りません（サーバー自体がオンラインサービスを呼び出す場合を除きます）。

今もメンテナンスされていますか？

GitHubリポジトリの最終更新は–、最新バージョン（1.6.0）がレジストリに届いたのは先月です。

どのアプリで使えますか？

Claude Desktop、Claude Code、Cursor、VS CodeなどのMCP対応アプリで使えます。パソコンにNode.jsも必要です。

代わりに使えるものは？

同じカテゴリには：Spec Driven Development, Remote Desktop Commander, zanadir

代わりの候補

同じカテゴリで、ほかの作者が作ったサーバー。スターの多い順。

カードの見方：★ GitHubスターi3つの柱：レビュー · チェック · 利用状況i更新＝最新バージョンをレジストリに公開した日i

Spec Driven Development

作者：formulahendry

MCP Server that facilitates spec-driven development workflows, not just Vibe Coding.

パソコンで動く★ 440MIT14 か月前更新

インストール

Remote Desktop Commander

作者：desktop-commander

Remote Desktop Commander: use files, terminal and processes on your own computers from any AI app.

クラウドで動く★ 211昨日更新

インストール

zanadir

作者：MustacheCase

Find what a repository's CI is missing, and which security checks cannot fail the build.

パソコンで動く今日更新

インストール

作者のREADME

READMEを開く

作者のリポジトリから書かれたとおりにコピーしたものです。PopNx MCPは内容を確認・推奨していません。HTML、画像、スクリプトは取り除いています。リンクはこのサイトの外へ移動します。

TollWarden

A payment security firewall for [x402](https://x402.org) — screen every micropayment before it settles.

-0052FF)

Agents that pay over x402 get drained in predictable ways: secrets leak through payment metadata, captured authorizations get replayed, quoted prices get inflated, and poisoned web content tricks agents into paying addresses they never planned to pay. TollWarden is one POST before settlement that checks for all of it and returns allow / flag / block with machine-readable, per-check reasons — in ~0.6 ms.

TollWarden is advisory and non-custodial: it never touches private keys, wallets, or funds. It wraps around whatever facilitator and wallet your agent already uses. And it's a first-class x402 seller itself — its endpoints are paid via the official x402 middleware, settle through the Coinbase CDP facilitator, and carry Bazaar discovery metadata.

Agent decides to pay ──► POST /v1/scan/outgoing ──► allow ──► wallet settles

│ ├──► flag ──► agent pauses / confirms intent └──► block ──► wallet refuses (reason attached)

Use it in 30 seconds

npm install @tollwarden/client    # TypeScript/Node

pip install tollwarden # Python

import { TollWardenClient, TollWardenBlockedError } from "@tollwarden/client";

const tollwarden = new TollWardenClient({ agentId: "my-agent" }); // free API key auto-minted, 100 free scans

tollwarden.observe(fetchedPageText, { sourceUrl }); // tag what your agent just read → injection detection await tollwarden.guardOutgoing(payment); // throws TollWardenBlockedError on a block verdict

New here? [Protect your x402 agent in 5 minutes →](QUICKSTART.md)

The SDK (sdk/, zero dependencies) also verifies every verdict's Ed25519 attestation against a pinned key, tracks your free-call quota, and can subscribe to plans autonomously. Wallet authors get standalone verifyAttestation() / computePaymentCommitment() — and the enforcement kit: new TollWardenEnforcer({ trustedKeyHex }).guardSigner(account) wraps any viem/ethers signer so it physically refuses to sign an x402 payment authorization without a fresh, payment-bound allow-verdict.

Framework integrations

Building on an agent framework? TollWarden ships drop-in packages that give your agent "scan before you pay" in about two lines — a toolset plus a provenance mechanism that auto-tags what the agent reads, so the prompt-injection-triggered-payment detector works without any prompt engineering:

Framework	Package	Install
LangChain	`langchain-tollwarden`	`pip install langchain-tollwarden`
CrewAI	`crewai-tollwarden`	`pip install crewai-tollwarden`
NeMo Agent Toolkit	`nemo-tollwarden`	`pip install nemo-tollwarden`
Coinbase AgentKit	`agentkit-tollwarden`	`pip install agentkit-tollwarden`
Vercel AI SDK	`@tollwarden/ai-sdk`	`npm install @tollwarden/ai-sdk`

Each exposes the same three tools (scan / check reputation / report) and a framework-native way to feed what the agent read into injection detection. LangChain uses a callback, CrewAI an after-tool-call hook and the Vercel AI SDK an onStepFinish handler, and all three tag it automatically. NeMo and AgentKit take it as an explicit content argument, and the AgentKit action also fills in the payer from the agent's own wallet. Every package also ships a guarded_payment / guardedPayment wrapper for enforcement by construction (the payment executor never runs on a block verdict), and the NeMo one accepts an async executor. See each package's README for the two-line setup, or its page under tollwarden.com/integrations.

What it catches

The AI agent payment security guide walks through the attacks these checks answer, one failure mode at a time, with each check's limits.

Core detectors

Check	What it catches
PII / secret detection	EVM private keys, seed phrases, AWS/OpenAI/Anthropic/GitHub/Slack keys, JWTs, `?api_key=` URL credentials, SSNs, Luhn-validated card numbers, emails, phones — in `resource_url`, `description`, `reason`, and `metadata`, before they're transmitted
Replay detection	Nonce reuse (stale or captured payment authorizations), scoped `network:payer:nonce`, configurable TTL window
Duplicate purchase	The same purchase authorized twice. x402 clients sign a fresh authorization for every 402 they see, so a retried request arrives as a second valid payment with a new nonce, which nonce-replay checks admit and which can settle alongside the first. An outgoing scan that matches your previous scan of the same purchase (payer, `pay_to`, asset, amount, `resource_url`) within 60 s under a different authorization is flagged `replay.duplicate_purchase`. On API-key scans the flag names the earlier `scan_id`. Anonymous scope is client-declared, so there the flag never echoes another caller's id. A pre-sign scan and the post-sign scan of the same authorization count once. Deliberate repeats clear it: pass the earlier scan's `scan_id` as `context.repeat_of` (one attempt at a time), or report the earlier attempt's outcome as delivered, which the SDK payment wrappers do automatically when a paid call succeeds. `not_delivered` does not clear it, because that is the attempt that gets retried. Flag-only, since TollWarden sees scans, not settlements, and cannot know the first one settled. A blocked payment records nothing
Overpayment detection	Above a configurable multiple of expected price (flag ≥3×, block ≥10×) plus an absolute ceiling
Prompt-injection-triggered payments	Payments whose decision originated from content the agent just read (tool result / fetched page) rather than its own planning step; escalates on weighted injection tells in that content (override/redirect phrasing across a broad verb/object corpus and in 8 languages: English, Spanish, Portuguese, French, German, Russian, Chinese, Japanese; spoofed system/chat-template/Guidance markers, smuggled model boundary tokens, fabricated conversation turns, concealment, business-email-compromise phrasing — "our payment address has changed, no need to verify" — and urgency pressure), with extra weight when a tell sits near an address-like token. Scored the way injections are shaped: weak tells only add up when they cluster, pressure alone (urgency, transcript form, hidden characters) never blocks, and a human's own "pay X to 0x…" instruction is not scored against them. Content is scanned both raw and with HTML tags, entities and markdown emphasis stripped, so `Ignore all previous instructions` reads as the sentence it renders as. Blocks when the `pay_to` address itself came from that content — even split across lines or separators, missing its `0x`, or laced with invisible characters
Resource URL risk (incoming)	IP-literal hosts, punycode/homoglyphs, link shorteners, `user@host` tricks, non-HTTPS, credential demands ("send your seed phrase")
Counterparty reputation	Shared post-hoc report registry, cross-checked on every scan; reporting is always free. Blocked injection scans also feed it automatically: a wallet caught being planted in just-read content (or used as vanity-bait) is flagged on every agent's future scans of it — one detection becomes network-wide protection (flag-only; scan inputs are client-supplied)
Delivery outcomes	Measured, commitment-bound delivery history per counterparty — a clean payment to a seller who never ships still fails you. Sellers with low delivery rates or repeated no-ships get flagged (never blocked: H-2 applies to measured history too)

Zero-latency hardening tier — checks that hold even when the calling agent's narration is compromised:

Check	What it catches
Velocity limits	≥N scans/min (flag; block at 2×), cumulative hourly spend cap — rate and spend are observed facts, not self-reports. Scoped to the account behind your API key, so a fresh `agent_id` per request opens no new window; only anonymous scans fall back to `agent_id`/`payer`. A payment TollWarden blocks still takes a rate slot but adds nothing to the hourly spend, so a seller's absurd quote, refused at the ceiling, does not lock you out of paying anyone else for the next hour
First-contact size cap	First payment to a never-seen counterparty above a threshold
Asset verification	`asset` contract that isn't canonical USDC on the declared network (lookalike-token attack). The network may be a CAIP-2 id or an x402 v1 name (`base`, `base-sepolia`, `polygon`, `ethereum`); both reach the same check
Merchant pinning (TOFU)	Two tiers. Your account's own pin: `pay_to` rotation on a domain you have paid before → block — nobody else can have written that record. Shared observation: the first address any caller presented for the domain; a mismatch there is a flag ("another caller saw a different address"), because both sides are client input — it becomes a block only once the non-blocking CDP Bazaar cross-check has verified the pinned address as the domain's merchant. Pin age and the named corroboration sources ship as signed attestation fields (see below), so a wallet can tell a four-minute-old pin from a six-month-old one instead of trusting both equally
Address poisoning	`pay_to` that matches a counterparty you have paid, your own pinned merchant, or a CDP-verified pin on its first + last characters but differs in the middle — the truncated-display ("0x2096…287C") vanity-address attack → block. A lookalike of an address some other caller merely presented → flag, so a stranger cannot seed a vanity "pin" and get your honest payment blocked as the lookalike. Also catches bait: a near-copy of the recipient or a trusted address planted in the content the agent just read. Blocked payments are rolled back out of trust state, so repeat attempts keep detecting
ScoutScore trust signal (opt-in)	Merchant domains rated LOW/VERY_LOW by ScoutScore (spam farms, template clones, dead endpoints) → flag, clearly labeled as an external third-party signal. Lookups are async + cached (zero scan latency), share the domain only, and can never block on their own. Enable with `SCOUTSCORE=on`
Known-bad list	O(1) membership against a curated/synced badlist

| Deep content analysis | Encoded/obfuscated injection payloads decoded and rescanned: base64 (both alphabets, line-wrapped, space-chunked, double-encoded), hex, percent-encoding, HTML entities, JS/JSON \x/\u escapes, Unicode tag-character smuggling ("invisible ASCII"), zero-width and homoglyph obfuscation (Cyrillic, Greek, IPA, small capitals, dotless-i — plus a mixed-script-word signal for lookalikes the fold table does not know), leetspeak (1gn0re) and letter-spacing (i g n o r e). Every pass is linear in the 200 KB content cap and guarded by a latency test. Bypassed below MICRO_BYPASS_USD (default $0.005) per payment, but drip-resistant: once cumulative scanned spend to a counterparty crosses the same threshold, the deep tier runs an

冒頭だけを表示しています。続きはリポジトリで読めます

TollWarden

概要

PopNx MCPの3つの柱

できること

インストール

インストールの前に

できること

基本チェックi

作者とリポジトリが一致

今もメンテナンスされている

ライセンスがある

エンドポイントが応答する

OAuthでサインイン

ツールの説明に隠れた指示がない

その他のほかのサーバーとの比較i

よくある質問

代わりの候補

Spec Driven Development

Remote Desktop Commander

zanadir

作者のREADME

TollWarden

Use it in 30 seconds

Framework integrations

What it catches