agent-bom — MCP-сервер для Claude Code: что делает и как установить
Сканирует репозиторий и находит уязвимые пакеты за MCP-серверами ваших агентов. Пригодится, если нужно понять, что вообще торчит наружу.
claude mcp add agent-bom -e NVD_API_KEY=<NVD_API_KEY> -- uvx agent-bomЧто делает agent-bom
agent-bom запускается локально и проходит по проекту: собирает инвентарь зависимостей, ищет совпадения с известными уязвимостями, отмечает пробелы в покрытии и выдаёт рекомендации по исправлению. Результат виден прямо в терминале. Отчёт можно сохранить, например в SARIF, и на его основе закрывать CI.
Внутри — набор скиллов для Claude и Codex. checkup даёт один вердикт и три самые важные правки, affected отвечает, попадает ли проект под конкретный CVE, activity показывает, что делали агенты по истории сессий, audit-mcp и audit-skills проверяют настройки на избыточные права. Отдельный плагин agent-bom-guard блокирует установку вредоносных и подменённых пакетов до того, как Claude их выполнит.
Для работы нужен uvx и ключ NVD_API_KEY — без него сервер не поднимется в описанной конфигурации. Локальное сканирование не требует аккаунта, а оба плагина запускают закреплённый релиз agent-bom на вашей машине и ничего наружу не отправляют.
Какие задачи решает
- найти уязвимые зависимости в проекте перед релизом
- понять, какой агент тянет проблемный пакет
- проверить, не слишком ли широкие права у MCP-серверов
- собрать AI-BOM в формате CycloneDX или SPDX
- остановить установку подменённого пакета до запуска
Примеры запросов агенту
- Прогони
agent-bom scan .и покажи, что нашлось - Попадает ли наш проект под CVE-2025-29927?
- Собери AI-BOM для этого проекта в CycloneDX
Как установить agent-bom
Командой платформы
claude mcp add agent-bom -e NVD_API_KEY=<NVD_API_KEY> -- uvx agent-bomВместо <…> подставьте свои значения. uvx запускает команду с именем пакета; если в README она другая — uvx --from agent-bom <команда>
Командой платформы
codex mcp add agent-bom --env NVD_API_KEY=<NVD_API_KEY> -- uvx agent-bomВместо <…> подставьте свои значения. uvx запускает команду с именем пакета; если в README она другая — uvx --from agent-bom <команда>
Файл настроек
{
"mcpServers": {
"agent-bom": {
"command": "uvx",
"args": [
"agent-bom"
],
"env": {
"NVD_API_KEY": "<NVD_API_KEY>"
}
}
}
}Вместо <…> подставьте свои значения. uvx запускает команду с именем пакета; если в README она другая — uvx --from agent-bom <команда>
Файл настроек
{
"servers": {
"agent-bom": {
"type": "stdio",
"command": "uvx",
"args": [
"agent-bom"
],
"env": {
"NVD_API_KEY": "<NVD_API_KEY>"
}
}
}
}Вместо <…> подставьте свои значения. uvx запускает команду с именем пакета; если в README она другая — uvx --from agent-bom <команда>
Командой платформы
gemini mcp add -e NVD_API_KEY=<NVD_API_KEY> agent-bom uvx agent-bomВместо <…> подставьте свои значения. uvx запускает команду с именем пакета; если в README она другая — uvx --from agent-bom <команда>
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о agent-bom
Как установить agent-bom в Claude Code?
Добавьте MCP-сервер командой claude mcp add agent-bom -e NVD_API_KEY=<NVD_API_KEY> -- uvx agent-bom. Для варианта с явным транспортом используйте claude mcp add --env NVD_API_KEY=<NVD_API_KEY> --transport stdio agent-bom -- uvx agent-bom.
Что делает agent-bom?
Сканирует зависимости проекта и настройки MCP-серверов, сопоставляет находки с уязвимостями и показывает, что доступно агенту через его цепочку. Скиллы внутри отвечают на вопросы вроде «безопасно ли это выкатывать» прямо в чате агента.
Нужен ли аккаунт или облако?
Локальные сканы работают без аккаунта. Плагины для Claude и Codex запускают закреплённый релиз на вашей машине и ничего не отправляют в сервис agent-bom.
