Триви

Плагин сервера Trivy MCP

Этот плагин запускает сервер Model Context Protocol (MCP), который интегрирует возможности сканирования безопасности Trivy с VS Code и другими инструментами с поддержкой MCP.

[!ВАЖНО] Это ранняя стадия разработки сервера MCP, поэтому следует исходить из того, что на данный момент все будет работать не очень хорошо.

Функции

Сканирование естественного языка : задавайте вопросы о проблемах безопасности на естественном языке.
Несколько типов сканирования :
- Сканирование файловой системы для локальных проектов
- Сканирование уязвимостей образа контейнера
- Анализ безопасности удаленного репозитория
Интеграция с Aqua Platform : дополнительная интеграция с платформой Aqua Security для расширенных возможностей сканирования.
Гибкая транспортировка : поддержка транспортных протоколов stdio и SSE (Server-Sent Events)
Интеграция с VS Code : бесшовная интеграция с интерфейсом чата VS Code

Установка плагина

Для установки плагина вы можете использовать систему управления плагинами Trivy.

trivy plugin install mcp

Будет установлена последняя версия плагина.

Запуск плагина

Теперь вы готовы запустить плагин, это запустит сервер MCP, с которым могут взаимодействовать Cursor или VSCode. На данный момент инструкции будут сосредоточены на VSCode

trivy mcp

Доступные варианты

Вариант	Ценности	По умолчанию	Описание
`--transport` / `-t`	`sse` , `stdio`	`stdio`	Транспортный протокол для сервера MCP
`--port` / `-p`		23456	Порт для транспортного режима SSE
`--trivy-binary`			Пользовательский путь к бинарному файлу Trivy (необязательно)
`--use-aqua-platform` / `a`	`true/false`	`false`	Включить интеграцию Aqua Platform
`--debug`	`true/false`	`false`	Включить отладочное ведение журнала

Аутентификация

Сервер MCP поддерживает интеграцию с Aqua Platform через подкоманду auth :

# Save Aqua Platform credentials
trivy mcp auth login --key "YOUR_AQUA_KEY" --secret "YOUR_AQUA_SECRET" --region "YOUR_REGION"

# Clear saved credentials
trivy mcp auth logout

# Verify saved credentials
trivy mcp auth status

Доступные варианты аутентификации

Вариант	Описание
`--key`	API-ключ платформы Aqua
`--secret`	Секрет API платформы Aqua
`--region`	Регион Aqua Platform (например, 'us-east-1')

После настройки учетных данных вы можете использовать функции Aqua Platform, запустив сервер с флагом --use-aqua-platform :

trivy mcp --use-aqua-platform

Учетные данные надежно хранятся в цепочке ключей конкретной платформы.

Настройка MCP-сервера в VSCode

Теперь нам нужно настроить сервер в VSCode, чтобы начать использовать его в качестве агента.

Предварительные требования

= версия 1.99.0 VS Code

Настройка плагина

Вы можете настроить Trivy mcp на самостоятельный запуск или использовать конечную точку sse http

Настройка для stdio

В VS Code нажмите F1
Поиск по запросу "Preferences: Open User Settings (JSON)"
Найдите или создайте блок "mcp" и добавьте сервер, как показано ниже.
"mcp": { "servers": { "Trivy MCP": { "command": "trivy", "args": [ "mcp", "-t", "stdio" ] } } }
При сохранении появится аннотация « Start сервер».

Настройка для SSE HTTP

Запустите MCP-сервер
trivy mcp -t sse -p 23456
В VS Code нажмите F1
Поиск "Preferences: Open User Settings (JSON)"
Найдите или создайте блок "mcp" и добавьте сервер, как показано ниже.
"mcp": { "servers": { "Trivy SSE": { "type": "sse", "url": "http://localhost:23456/sse" } } }
При сохранении появится аннотация « Start сервер».

Примеры запросов

[!ВАЖНО] Обязательно используйте окно чата в режиме Agent , а не в режиме Ask »

Анализ локального проекта

Are there any vulnerabilities or misconfigurations in this project?

Find all HIGH severity vulnerabilities in this codebase

Generate a CycloneDX SBOM for this project

Сканирование изображения контейнера

Does the python:3.12 image have any vulnerabilities?

Show me all critical security issues in the nginx:latest image

What are the licenses used by dependencies in the node:18 image?

Анализ репозитория

What are the vulnerabilities in github.com/aquasecurity/trivy-ci-test?

Check for misconfigurations in kubernetes/kubernetes repository

Расширенное использование

Scan this project for secrets and license issues only

Generate an SPDX SBOM and show me any dependency vulnerabilities

What security issues were fixed in the latest version of this image?

Trivy