ARGUS

Guardian Autónomo de Repositorios y Escáner Unificado

«Cien ojos sobre tu base de código.»

Un servidor MCP que proporciona a cualquier agente de IA una conciencia situacional completa de una base de código — seguridad, calidad, arquitectura, seguridad de tipos, historial de git y código muerto — con cero infraestructura.

Sin servidor. Sin base de datos. Sin plugin de CI. Sin claves de API. Ningún dato sale de tu máquina.

npx @cerionautomation/argus

Por qué existe

Pregúntale a un asistente de IA «¿está segura mi base de código?» y adivinará, porque solo puede ver el archivo que le has pegado. No puede ver los otros 400 archivos, ejecutar tus pruebas ni consultar tu historial de git.

ARGUS lo soluciona. Conéctalo como servidor MCP y el agente dispondrá de 24 herramientas que leen todo el repositorio, lo puntúan en 10 dimensiones y devuelven JSON estructurado sobre el que puede actuar.

Related MCP server: arch-viewer

ARGUS frente a SonarQube

Donde SonarQube sigue ganando: soporte de más de 30 lenguajes (ARGUS se centra en TS/JS/Python/Go), décadas de ajuste de reglas, certificaciones de cumplimiento y paneles para múltiples equipos con informes de tendencias históricas. ARGUS no pretende sustituir un despliegue empresarial de puerta de calidad — sustituye el bucle de retroalimentación entre un agente de IA y tu código.

Precisión: medida, no afirmada

La mayoría de los escáneres te ahogan en falsos positivos. ARGUS valida cada hallazgo contra laWaitsus propias pruebas y rechaza los que no se sostienen.

Resultado real sobre una base de código de producción Next.js con 99 681 líneas:

Los cuatro falsos positivos eliminados fueron:

• "select your dates" en el texto de las preguntas frecuentes marcado como inyección SQL

• select=accessToken en una URL REST marcado como inyección SQL

• Un console.log marcado como credencial fija (correctamente reclasificado como registro de secretos)

Cada rechazo puede inspeccionarse mediante critique_report.

Cómo funciona la precisión

1. Detección multi-puerta. Un hallazgo de inyección SQL requiere tres puertas independientes:

• Una sentencia SQL bien formada (SELECT … FROM, no la palabra «select»)

• Un ejecutor de consultas en un radio de 2 líneas (.query(, $queryRaw, knex.)

• No es una URL ni una cadena de consulta REST

2. Comprobación de entropía en secretos. Una credencial debe tener un prefijo clave conocido (sk-, ghp_, AKIA, AIza) o una entropía real — mayúsculas y mínimas, dígitos, 20 caracteres o más. Quedan excluidos los valores interpolados, las referencias a variables de entorno y las declaraciones de tipo.

3. Crítica semántica. Cada hallazgo superviviente es reexamininar contra su propia evidencia capturada. Si la evidencia contradice la afirmación, se rechaza con un motivo explicitado.

4. Confianza honesta. El número de confianza es la parte de hallazgos marcados como confirmed en lugar de possible — no un 100 % cosmético.

Herramientas (24)

Diagnóstico

• full_diagnose — todo a la vez: puntuación, hallazgos, zonas activas, código muerto, tipos

• quantum_score — la calificación ponderada en 10 en las dimensiones (S/A/B/C/D/F), reproducible

• swarm_intel — todos los escáners en paralelo + bucle de corrección

• cheat_sheet — orientación del repositorio entre en un agente

Seguridad

• security_scan — secretos, SQLi, XSS, path traversal, criptografía débil, CORS, open redirect, contaminación de prototipos, TLS

• standards_check — OWASP Top 10, 12-Factor, Clean Architecture

• dependency_risk — paquetes riesgosos, versiones comodín, falta de lockfile

Calidad

• code_quality — captura vacía, console.log, @ts-ignore, any, archivos desproporcionados

• type_coverage — puntuación de rigor de TypeScript

• memory_scan — fugas de escuchantes, falta de limpieza de useEffect, fugas de temporizadores

• test_coverage — proporción, pruebas con aserciones, pruebas omitidas

• dead_exports — símbolos exportados que nadie importa

Inteligencia de Git

• git_hotspots — ficheros con mayor volumen de cambios en 90 días (el churn se correlaciona con los fallos)

Fundamento de RAG

• rag_retrieve — recuperación de código BM25, local, sin llamadas a API

• ground_finding — restless función contenedora completa de un hallazgo + todos los llamantes de un símbolo

• critique_report — todos los falsos positivos rechazados y el motivo

Acciones

• auto_diagnose — bucle de autocosta: diagnosticar → corregir → recrear → iterar

• verify_all — compilar, revisar con lint y probar, con la información que se ha generado

• risk_assess — nivel de riesgo en 4 dimensiones → modo Bien Autonomía / Mix / Estructurado

• gap_analysis — detection de CI, linter, README o tsconfig inexistentes

• search — funciona con ripgrep, 32 veces más rápido que grep

• think — apoyo estructurado para el razonamiento en tan

• memory_set / memory_get — persistencia entre sesiones

3 prompts: deep_audit, production_gate, debug_root_cause 3 recursos: argus://{path}/health, /summary, /hotspots

Instalación

Claude Code

claude mcp add argus -- npx -y @cerionautomation/argus

Claude Desktop — añade a claude_desktop_config.json:

{
  "mcpServers": {
    "argus": {
      "command": "npx",
      "args": ["-y", "@cerionautomation/argus"]
    }
  }
}

Desde el código fuente

git clone https://github.com/CerisonAutomation/argus-mcp
cd argus-mcp && npm install && npm run build

Ingeniería

• Cero dependencias en tiempo de ejecución más allá del SDK de MCP y Zod

• Circuit breakers en cada escáner: un agente nunca se queda colgado

• Recorrido seguro de sistema de ficheros — límites de 30MB de archivos en total / 500KB por fichero, con profundidad limitada

• Ejecución de procesos saneada — execFileSync con arreglos de argumentos, nunca shell: true

• TypeScript estricto — exactOptionalPropertyTypes, noUncheckedIndexedAccess

• Especificación de MCP 2025-06-18 — anotaciones JSON de herramientas, contenido estructurado, esquemas de salida

Comparativas

Medido sobre una base de producción de Next.js + TypeScript con 99 681 líneas / 631 ficheros:

Licencia

MIT © Cerison Brown

Creado por Cerison Brown — SDET | Ingeniero de Automatización de QA | Ingeniero de Automatización de Flujos y Sistemas de IA