toolmoat 开源代理锁定 MCP 工具描述并拦截敏感调用

开发者发布 MIT 开源代理 toolmoat，通过 lockfile 锁定 MCP 工具描述，描述变化后自动隐藏相关工具并等待人工审查 diff。它还会拦截参数中的 API key，支持用 `npx toolmoat scan` 扫描配置、skill 和服务器代码中的隐藏 Unicode、注入指令、未固定版本的 npx 服务器及明文密钥。