Commit — Supply Chain Risk Scoring: MCP-сервер
MCP-сервер, который оценивает риск пакетов из npm, PyPI, Cargo и Go по поведенческим признакам, а не по звёздам и числу загрузок.
claude mcp add --transport http proof-of-commitment https://poc-backend.amdal-dev.workers.dev/mcpЧто делает Commit — Supply Chain Risk Scoring
Сервер смотрит на то, что подделать труднее, чем README или счётчик скачиваний: сколько людей реально публикуют пакет, как долго он живёт, есть ли подтверждённая история публикаций. Внутри девять инструментов. В ответе по каждому пакету видно уровень риска, счёт, число публикаторов, загрузки в неделю, возраст и метку provenance.
Есть CLI-режим: npx proof-of-commitment без аргументов сам находит манифест в текущей папке, а можно указать конкретный файл или список пакетов. Для конвейеров пригодится --fail-on=critical — процесс упадёт, если найдётся пакет с признаками сосредоточения прав публикации. Вывод --sarif кладётся в GitHub Code Scanning рядом с CodeQL.
Логин не нужен, ключей тоже. MCP-сервер работает по адресу https://poc-backend.amdal-dev.workers.dev/mcp, локально поднимается через npx -y proof-of-commitment. Если у вас закрытое зеркало или прокси, настраивайте это в окружении, а не в строке установки.
Какие задачи решает
- увидеть пакеты, где публиковать может один человек
- проверить транзитивные зависимости из
package-lock.json - заблокировать PR с критичным пакетом в CI
- выгрузить результаты аудита в GitHub Code Scanning
- сравнить риск пакетов из разных экосистем в одном отчёте
Примеры запросов агенту
- Проверь
package.jsonв этом проекте и покажи пакеты с критичным риском - Прогони аудит
requirements.txtчерез Commit и объясни, что значит каждый уровень - Собери отчёт по
go.sumи выведи его в SARIF
Как установить Commit — Supply Chain Risk Scoring
1Командой платформы: удалённый сервер
claude mcp add --transport http proof-of-commitment https://poc-backend.amdal-dev.workers.dev/mcp2Командой платформы
claude mcp add commit-supply-chain-risk-scoring -- npx -y proof-of-commitment1Командой платформы: удалённый сервер
codex mcp add commit-supply-chain-risk-scoring --url https://poc-backend.amdal-dev.workers.dev/mcp2Командой платформы
codex mcp add commit-supply-chain-risk-scoring -- npx -y proof-of-commitmentФайл настроек
{
"mcpServers": {
"commit-supply-chain-risk-scoring": {
"url": "https://poc-backend.amdal-dev.workers.dev/mcp"
}
}
}{
"mcpServers": {
"commit-supply-chain-risk-scoring": {
"command": "npx",
"args": [
"-y",
"proof-of-commitment"
]
}
}
}Файл настроек
{
"servers": {
"commit-supply-chain-risk-scoring": {
"type": "http",
"url": "https://poc-backend.amdal-dev.workers.dev/mcp"
}
}
}{
"servers": {
"commit-supply-chain-risk-scoring": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"proof-of-commitment"
]
}
}
}1Командой платформы: удалённый сервер
gemini mcp add -t http commit-supply-chain-risk-scoring https://poc-backend.amdal-dev.workers.dev/mcp2Командой платформы
gemini mcp add commit-supply-chain-risk-scoring npx -y proof-of-commitmentПо шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о Commit — Supply Chain Risk Scoring
Как установить Commit — Supply Chain Risk Scoring в Claude Code?
Добавьте сервер командой claude mcp add --transport http proof-of-commitment https://poc-backend.amdal-dev.workers.dev/mcp. Ключ и вход не нужны.
Что делает Commit — Supply Chain Risk Scoring?
Считает риск пакетов npm, PyPI, Cargo и Go по поведенческим признакам: числу публикаторов, возрасту, загрузкам, истории provenance. Девять инструментов отдают оценку и уровень риска.
Чем это отличается от npm audit?
npm audit ищет известные уязвимости, а Commit показывает сосредоточение прав на публикацию: когда пакет с миллионами загрузок в неделю выпускает один человек.
