Grype MCP Server

Сервер MCP от Anchore для сканера уязвимостей Grype

Интегрируйте сканирование уязвимостей Grype напрямую в рабочие процессы разработки с помощью ИИ через Model Context Protocol (MCP).

🚀 Быстрый старт

Установка

Установите с помощью uvx (рекомендуется):

uvx grype-mcp

Или с помощью pipx:

pipx install grype-mcp

Или с помощью pip:

pipx install grype-mcp

Настройка MCP-клиента

Claude Desktop

Добавьте в конфигурацию Claude Desktop:

{
  "mcpServers": {
    "grype": {
      "command": "uvx",
      "args": ["grype-mcp"]
    }
  }
}

Другие MCP-клиенты

Для других совместимых с MCP клиентов добавьте сервер с помощью: - Команда: uvx - Аргументы: ["grype-mcp"]

Начните использовать возможности сканирования уязвимостей Grype!

🛠️ Доступные инструменты

Сервер Grype MCP предоставляет эти инструменты для ИИ-ассистентов:

Управление системой

• find_grype — Проверить, установлен ли Grype, и получить информацию о версии
• update_grype — Установить или обновить Grype до последней версии
• get_db_info — Получить информацию о статусе и версии базы данных уязвимостей
• update_db — Обновить базу данных уязвимостей

Сканирование уязвимостей

• scan_dir — Сканировать каталоги проекта на наличие уязвимостей
• scan_purl — Сканировать конкретные пакеты, используя формат PURL (например, pkg:npm/lodash@4.17.20)
• scan_image — Сканировать контейнерные образы на наличие уязвимостей

Исследование уязвимостей

• search_vulns — Искать в базе данных уязвимостей по CVE, имени пакета или CPE
• get_vuln_details — Получить подробную информацию о конкретных CVE

💡 Примеры использования

После настройки вы можете спрашивать:

• «Проверь, установлен ли Grype и не устарел ли он»
• «Просканируй мой каталог проекта на наличие уязвимостей»
• «Является ли pkg:npm/lodash@4.17.20 уязвимым?»
• «Просканируй Docker-образ nginx:latest»
• «Поищи уязвимости в Log4j»
• «Получи подробности о CVE-2021-44228»

🔧 Требования

• Python 3.10+
• Grype (может быть установлен с помощью инструмента update_grype)
• Docker (необязательно, для сканирования контейнерных образов)

Сервер MCP может помочь установить Grype, если он еще не доступен, с помощью инструмента update_grype.

📋 Поддерживаемые цели сканирования

• Каталоги — Сканирование целых проектов со всеми их зависимостями
• Контейнерные образы — Docker-образы из любого реестра
• URL-адреса пакетов — Отдельные пакеты в формате PURL
• npm: pkg:npm/package@version
• Python: pkg:pypi/package@version
• Go: pkg:golang/package@version
• Java: pkg:maven/group/artifact@version
• И многие другие экосистемы

🏗️ Архитектура

Сервер MCP действует как мост между ИИ-ассистентами и Grype:

ИИ-ассистент ↔ Сервер MCP ↔ CLI Grype ↔ База данных уязвимостей

• Нулевые модификации самого Grype не требуются
• Структурированные JSON-ответы, оптимизированные для потребления ИИ
• Комплексная обработка ошибок с полезными сообщениями
• Автоматическое управление инструментами для простой настройки

🤝 Участие в разработке

Мы приветствуем вклад! Пожалуйста, ознакомьтесь с:

• CONTRIBUTING.md) — Руководство по внесению вклада
• DEVELOPING.md) — Настройка среды разработки
• CODE_OF_CONDUCT.md) — Стандарты сообщества

📄 Лицензия

Лицензировано в соответствии с лицензией Apache, версия 2.0. Подробности см. в LICENSE).

🔗 Связанные проекты

• Grype — Сканер уязвимостей для контейнерных образов и файловых систем
• Syft — Инструмент для создания SBOM
• Model Context Protocol — Открытый протокол для интеграций ИИ-ассистентов
• Anchore Enterprise — Коммерческая платформа безопасности, основанная на SBOM

📞 Поддержка

• GitHub Issues — Отчеты об ошибках и запросы функциональности
• Anchore Community Discourse — Поддержка сообщества и обсуждения
• Документация — Полная документация

Сделано с ❤️ командой Anchore для сообщества разработки с помощью ИИ