Niro — MCP-сервер для Claude Code: что делает и как установить
Niro проверяет приложение как пентестер, подтверждает уязвимости и готовит исправления в pull request. Подходит для аудита web-приложений, API и MCP-серверов.
Открыть на GitHubЧто делает Niro
Niro запускает два агентных процесса: атакующий ищет реальные уязвимости в работающем приложении и оставляет воспроизводимое доказательство, а разработчик исправляет подтверждённые проблемы и добавляет проверку. Перед атакой сервер поднимает приложение, создаёт нужное тестовое состояние и пользователей. На выходе находки группируются по первопричинам в небольшие pull request.
Проверяются HTTP-поверхности web-приложений, API и MCP-серверов. Область атаки задаётся в scope.yaml, а инструменты работают в песочнице с сетевым контролем. Запуск идёт из корня проекта: curl -fsSL https://raw.githubusercontent.com/apxlabs-ai/niro/main/install.sh | sh, затем niro fix. При --autonomous агент получает полный доступ к хосту текущего пользователя без запросов подтверждения, поэтому этот режим требует отдельной проверки модели угроз. Решение о слиянии PR остаётся за разработчиком.
Какие задачи решает
- найти реально эксплуатируемые уязвимости в приложении
- воспроизвести проблему и оставить исполняемое доказательство
- создать тестовое состояние для атакующего сценария
- подготовить исправление в pull request
- сгруппировать находки по общей первопричине
Примеры запросов агенту
- Проведи проверку безопасности приложения и докажи каждую найденную уязвимость.
- Проверь HTTP API в пределах, заданных в
scope.yaml, и подготовь исправления. - Найди подтверждённые проблемы и создай для них pull request с тестами регрессии.
Как установить Niro
Установка
Команды запуска нет в реестре MCP — смотрите README репозитория
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о Niro
Как установить Niro в Claude Code?
Из корня проекта выполните curl -fsSL https://raw.githubusercontent.com/apxlabs-ai/niro/main/install.sh | sh, затем запустите niro fix.
Что делает Niro?
Он поднимает приложение, проводит атаку, подтверждает уязвимости и передаёт разработчику исправления в pull request с проверкой.
Что меняет режим --autonomous?
Он запускает работу без запросов подтверждения и даёт агенту полный доступ к хосту текущего пользователя. Перед таким запуском нужно изучить модель угроз CLI агента.
