Trivy

Trivy MCP Server Plugin

Dieses Plugin startet einen Model Context Protocol (MCP)-Server, der die Sicherheitsscanfunktionen von Trivy mit VS Code und anderen MCP-fähigen Tools integriert.

[!WICHTIG] Dies ist eine frühe Entwicklungsphase des MCP-Servers. Sie sollten also davon ausgehen, dass die Dinge vorerst nicht optimal funktionieren.

Merkmale

Natural Language Scanning : Stellen Sie Fragen zu Sicherheitsproblemen in natürlicher Sprache
Mehrere Scantypen :
- Dateisystem-Scan für lokale Projekte
- Scannen von Container-Image-Schwachstellen
- Sicherheitsanalyse für Remote-Repositorys
Integration mit der Aqua-Plattform : Optionale Integration mit der Plattform von Aqua Security für erweiterte Scanfunktionen
Flexibler Transport : Unterstützung für die Transportprotokolle stdio und SSE (Server-Sent Events)
VS Code-Integration : Nahtlose Integration mit der Chat-Schnittstelle von VS Code

Installieren des Plugins

Um das Plugin zu installieren, können Sie das Plugin-Verwaltungssystem von Trivy verwenden

trivy plugin install mcp

Dadurch wird die neueste Version des Plugins installiert

Starten des Plugins

Sie können nun das Plugin starten. Dadurch wird ein MCP-Server gestartet, mit dem Cursor oder VSCode interagieren können. Die Anweisungen konzentrieren sich zunächst auf VSCode.

trivy mcp

Verfügbare Optionen

Option	Werte	Standard	Beschreibung
`--transport` / `-t`	`sse` , `stdio`	`stdio`	Transportprotokoll für den MCP-Server
`--port` / `-p`		23456	Port für den SSE-Transportmodus
`--trivy-binary`			Benutzerdefinierter Trivy-Binärpfad (optional)
`--use-aqua-platform` / `a`	`true/false`	`false`	Aktivieren Sie die Aqua Platform-Integration
`--debug`	`true/false`	`false`	Aktivieren der Debugprotokollierung

Authentifizierung

Der MCP-Server unterstützt die Integration mit der Aqua-Plattform über den Unterbefehl auth :

# Save Aqua Platform credentials
trivy mcp auth login --key "YOUR_AQUA_KEY" --secret "YOUR_AQUA_SECRET" --region "YOUR_REGION"

# Clear saved credentials
trivy mcp auth logout

# Verify saved credentials
trivy mcp auth status

Verfügbare Authentifizierungsoptionen

Option	Beschreibung
`--key`	API-Schlüssel der Aqua-Plattform
`--secret`	Aqua Platform API-Geheimnis
`--region`	Aqua-Plattformregion (z. B. „us-east-1“)

Nachdem Sie die Anmeldeinformationen konfiguriert haben, können Sie die Funktionen der Aqua Platform nutzen, indem Sie den Server mit dem Flag --use-aqua-platform starten:

trivy mcp --use-aqua-platform

Anmeldeinformationen werden sicher im plattformspezifischen Schlüsselbund gespeichert.

Konfigurieren des MCP-Servers in VSCode

Jetzt müssen wir den Server in VSCode konfigurieren, um ihn als Agent zu verwenden

Voraussetzungen

= Version 1.99.0 von VS Code

Konfigurieren des Plugins

Sie können den Trivy mcp so konfigurieren, dass er sich selbst startet oder den SSE-HTTP-Endpunkt verwendet

Konfigurieren für stdio

Drücken Sie in VS Code F1
Suche nach "Preferences: Open User Settings (JSON)"
Suchen oder erstellen Sie den Block "mcp" und fügen Sie wie unten beschrieben einen Server hinzu
"mcp": { "servers": { "Trivy MCP": { "command": "trivy", "args": [ "mcp", "-t", "stdio" ] } } }
Beim Speichern erscheint eine Anmerkung zum Start des Servers

Konfigurieren für SSE HTTP

Starten Sie den MCP-Server
trivy mcp -t sse -p 23456
Drücken Sie in VS Code F1
Suche nach "Preferences: Open User Settings (JSON)"
Suchen oder erstellen Sie den Block "mcp" und fügen Sie wie unten beschrieben einen Server hinzu
"mcp": { "servers": { "Trivy SSE": { "type": "sse", "url": "http://localhost:23456/sse" } } }
Beim Speichern erscheint eine Anmerkung zum Start des Servers

Beispielabfragen

[!WICHTIG] Stellen Sie sicher, dass Sie das Chatfenster im Agent und nicht im Ask verwenden.

Lokale Projektanalyse

Are there any vulnerabilities or misconfigurations in this project?

Find all HIGH severity vulnerabilities in this codebase

Generate a CycloneDX SBOM for this project

Scannen von Containerbildern

Does the python:3.12 image have any vulnerabilities?

Show me all critical security issues in the nginx:latest image

What are the licenses used by dependencies in the node:18 image?

Repository-Analyse

What are the vulnerabilities in github.com/aquasecurity/trivy-ci-test?

Check for misconfigurations in kubernetes/kubernetes repository

Erweiterte Nutzung

Scan this project for secrets and license issues only

Generate an SPDX SBOM and show me any dependency vulnerabilities

What security issues were fixed in the latest version of this image?