Vulnify — MCP-сервер для Claude Code: проверка действий агента
MCP-сервер, который спрашивает у Vulnify разрешение перед тем, как агент прочитает, запишет, удалит или отправит данные. Ответ приходит один из трёх: ALLOW, REVIEW или BLOCK.
claude mcp add --transport http mcp https://mcp.vulnify.io/mcpЧто делает Vulnify
Vulnify — слой авторизации во время выполнения для ИИ-агентов. Сервер проксирует https://api.vulnify.io и сам не хранит ни события, ни API-ключи. Агент спрашивает до действия, а не после.
Подключиться можно двумя путями. Хостинговый сервер https://mcp.vulnify.io/mcp работает по stateless Streamable HTTP и требует входа через OAuth 2.1: клиент получает HTTP 401 и уходит на страницу согласия, где вы выбираете организацию и набор scope. Локальный вариант — npx -y @vulnify/mcp с переменной VULNIFY_API_KEY; ему нужен Node.js 20 или новее, и страницу согласия он не открывает.
Инструменты различаются по последствиям. check_action — холостой прогон: сканирование персональных данных пропускается, ничего не записывается. decide_action фиксирует настоящее решение, а статус REVIEW ждёт человека — одобрить или отклонить его этот сервер не умеет. Через OAuth доступны пять инструментов; plan_policy_changes и check_mcp_tool_call требуют API-ключа. Если scope не выдан, придёт ошибка инструмента с именем нужного scope — читать её как ALLOW нельзя. Ключ бывает vln_live_... или vln_test_...; тестовый пишет события в песочницу, и в основные дашборды они не попадают.
Какие задачи решает
- проверить действие агента до того, как оно выполнится
- получить ALLOW, REVIEW или BLOCK на чтение, запись, удаление, экспорт и отправку данных
- прогнать холостой прогон политики без записи решения
- зафиксировать настоящее решение по действию агента
- отправить действие на ручное подтверждение человеку
Примеры запросов агенту
- Проверь через Vulnify, можно ли агенту удалить таблицу
sessions— нужен только холостой прогон, без записи. - Запроси решение Vulnify на экспорт данных из
users.csvи покажи, что вернулfinalDecision. - Покажи список политик Vulnify, которые относятся к отправке данных наружу.
Как установить Vulnify
1Командой платформы: удалённый сервер
claude mcp add --transport http mcp https://mcp.vulnify.io/mcp2Командой платформы
claude mcp add --env VULNIFY_API_KEY=<VULNIFY_API_KEY> --env VULNIFY_BASE_URL=<VULNIFY_BASE_URL> --transport stdio vulnify -- npx -y @vulnify/mcpВместо <…> подставьте свои значения
1Командой платформы: удалённый сервер
codex mcp add vulnify --url https://mcp.vulnify.io/mcp2Командой платформы
codex mcp add vulnify --env VULNIFY_API_KEY=<VULNIFY_API_KEY> --env VULNIFY_BASE_URL=<VULNIFY_BASE_URL> -- npx -y @vulnify/mcpВместо <…> подставьте свои значения
Файл настроек
{
"mcpServers": {
"vulnify": {
"url": "https://mcp.vulnify.io/mcp"
}
}
}{
"mcpServers": {
"vulnify": {
"command": "npx",
"args": [
"-y",
"@vulnify/mcp"
],
"env": {
"VULNIFY_API_KEY": "<VULNIFY_API_KEY>",
"VULNIFY_BASE_URL": "<VULNIFY_BASE_URL>"
}
}
}
}Вместо <…> подставьте свои значения
Файл настроек
{
"servers": {
"vulnify": {
"type": "http",
"url": "https://mcp.vulnify.io/mcp"
}
}
}{
"servers": {
"vulnify": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"@vulnify/mcp"
],
"env": {
"VULNIFY_API_KEY": "<VULNIFY_API_KEY>",
"VULNIFY_BASE_URL": "<VULNIFY_BASE_URL>"
}
}
}
}Вместо <…> подставьте свои значения
1Командой платформы: удалённый сервер
gemini mcp add -t http vulnify https://mcp.vulnify.io/mcp2Командой платформы
gemini mcp add -e VULNIFY_API_KEY=<VULNIFY_API_KEY> -e VULNIFY_BASE_URL=<VULNIFY_BASE_URL> vulnify npx -y @vulnify/mcpВместо <…> подставьте свои значения
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о Vulnify
Как установить Vulnify в Claude Code?
Для хостингового сервера выполните claude mcp add --transport http vulnify https://mcp.vulnify.io/mcp, затем пройдите вход. API-ключ в эту команду не передавайте.
Что делает Vulnify?
Отвечает на запрос агента решением ALLOW, REVIEW или BLOCK. decide_action записывает решение, check_action только проверяет и ничего не сохраняет.
Чем локальный запуск отличается от хостингового?
Локальному npx -y @vulnify/mcp нужен Node.js 20 или новее и ключ в VULNIFY_API_KEY. Хостинговый сервер входит через OAuth, но даёт пять инструментов из семи.
