---
title: "Cua Scan Mcp"
method: POST
path: "/cua/scan-mcp"
---

# Cua Scan Mcp

`POST /cua/scan-mcp`

## Request

- Base URL: `https://aihcc.cloud` (the document declares no server; this is the origin it was published from)
- URL: `https://aihcc.cloud/cua/scan-mcp`
- Auth: none declared

MCP server 静态安全扫描：tool poisoning / 权限过大 / rug pull / 供应链。

与 /cua/audit-code（扫 agent 源码）互补：audit-code 回答「理论上能做什么坏事」，
scan-mcp 回答「MCP 配置本身安不安全」。纯规则、0 LLM、不占检测额度。
免登录可用：匿名按 IP 限 MCP_SCAN_ANON_DAILY_LIMIT 次/天，登录用户不限。
rug pull 基线：登录用户首次扫描自动落基线，之后自动 diff；
传 save_baseline=true 显式重建基线。匿名无基线功能（基线是有状态能力）。

## Request body

- CuaScanMcpRequest
  - `config` union
    - object
    - string
  - `save_baseline` boolean

## Response `200`

Successful Response

- object

## Other responses

- `422`: Validation Error

---

[API](https://skmtc.dev/aihcc/apis/hallucc-api.md) · [All operations](https://skmtc.dev/aihcc/apis/hallucc-api/llms.txt) · [OpenAPI document](https://skmtc.dev/aihcc/apis/hallucc-api/revisions/5818dff6d4c6?raw)