vulnicheck — MCP-сервер для Claude Code: сканирование и установка
MCP-сервер проверяет Python-проекты и GitHub-репозитории на уязвимости, секреты и проблемы в Dockerfile. Работает в Docker.
Открыть на GitHubЧто делает vulnicheck
vulnicheck запускается как HTTP MCP-сервер в Docker и подключает к агенту инструменты для проверки Python-пакетов, зависимостей и GitHub-репозиториев. Он ищет известные уязвимости, открытые ключи и пароли, проверяет Dockerfile и конфигурации MCP, а также возвращает сведения о CVE и рекомендации по исправлению.
Сервер умеет проверять requirements.txt, pyproject.toml и setup.py, сканировать установленные пакеты и оценивать безопасность операций с помощью OpenAI или Anthropic API. Для GitHub доступны публичные и приватные репозитории, а GITHUB_TOKEN повышает лимиты API. Без OPENAI_API_KEY остаётся базовое сканирование.
Подключение к Claude Code выполняется через HTTP-адрес http://localhost:3000/mcp. OAuth через HTTP-транспорт сейчас ломается на авторизационных endpoint’ах и возвращает 404, поэтому внешние клиенты с такой схемой доступа не пройдут авторизацию.
Какие задачи решает
- проверить зависимости Python на известные CVE
- найти секреты и учётные данные в коде
- просканировать Dockerfile на уязвимые пакеты
- проверить безопасность GitHub-репозитория
- оценить конфигурацию MCP-сервера
Примеры запросов агенту
- Проверь зависимости проекта и найди известные уязвимости.
- Просканируй репозиторий
https://github.com/owner/repoна проблемы безопасности. - Проверь мой Dockerfile и конфигурацию MCP на уязвимости.
Как установить vulnicheck
Установка
Команды запуска нет в реестре MCP — смотрите README репозитория
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о vulnicheck
Как установить vulnicheck в Claude Code?
Скачайте образ командой docker pull andrasfe/vulnicheck:latest, запустите сервер через docker run -d --name vulnicheck-mcp -p 3000:3000 --restart=unless-stopped andrasfe/vulnicheck:latest, затем подключите его командой claude mcp add --transport http vulnicheck http://localhost:3000/mcp.
Что делает vulnicheck?
Он проверяет Python-зависимости, секреты, Dockerfile, MCP-конфигурации и GitHub-репозитории. Сервер также выдаёт сведения о CVE и оценку риска.
Нужен ли API-ключ для работы vulnicheck?
Без ключа OPENAI_API_KEY доступно базовое сканирование. Ключи OpenAI или Anthropic добавляют AI-анализ, а GITHUB_TOKEN и NVD_API_KEY повышают лимиты соответствующих API.
