ARGUS

自律型リポジトリガーディアン＆統合スキャナー

"あなたのコードベースに百の眼を。"

あらゆる AI エージェントにコードベースの完全な状況把握 — セキュリティ、品質、アーキテクチャ、型安全性、Git 履歴、デッドコード — を提供する MCP サーバーです。インフラはゼロです。

サーバー不要。データベース不要。CI プラグイン不要。API キー不要。データはマシンの外に出ません。

npx @cerionautomation/argus

なぜこれが存在するのか

AI アシスタントに「このコードベースは安全か?」と尋ねても、答えは推測でしかありません。なぜなら、アシスタントが見ることができるのは、あなたが貼り付けたファイルだけだからです。あとの400個のファイルを見ることも、テストを実行することも、Git 履歴を調べることもできません。

ARGUS はそれを解決します。MCP サーバーとして接続すれば、エージェントはリポジトリ全体を読む24のツールを手に入れ、10の次元でスコアリングし、そのままアクションに使える構造化 JSON を返します。

Related MCP server: arch-viewer

ARGUS vs SonarQube

SonarQube が今も勝っている点: 30以上の言語対応（ARGUS は TS/JS/Python/Go に焦点）、何十年にもわたるルール調整、コンプライアンス認証、履歴トレンドレポートを備えた複数チーム向けダッシュボードがあります。ARGUS はエンタープライズ向け品質ゲートの導入を置き換えようとしているのではなく、AI エージェントとあなたのコードの間のフィードバックループそれを置き換えます。

精度: 主張ではなく実測

ほとんどのスキャナーは誤検知を大量に生んでしまいます。ARGUS はすべての検出結果を独自のエビデンスと照合し、成立しないものは拒否します。

ある 99,681 行の Next.js 本番コードベースでの実測結果:

除外された4件の誤検知は次のとおりです:

• FAQ 本文中の "select your dates" が SQL インジェクションとして誤検知された

• REST URL 内の select=accessToken が SQL インジェクションとして誤検知された

• ハードコードされた資格情報として誤検知された console.log (正しくはシークレットロギングと再分類)

すべての棄却は critique_report で監査できます。

精度の仕組み

1. マルチゲート検出。 SQL インジェクションの検出には、3 つの独立したゲートが必要です:

• 整った SQL 文（SELECT … FROM であり、単なる "select" という単語ではない）

• 2行以内クエリ実行関数がある（.query(、$queryRaw、knex.）

• URL や REST クエリ文字列ではない

2. シークレットのエントロピーチェック。 認証情報には、既知のキープレフィックス（sk-、ghp_、AKIA、AIza）または真のエントロピー — 大文字小文字の混在、数字、20文字以上 — が必要です。補間された値、環境変数参照は、型宣言は除外します。

3. セマンティックな批判。 残った各検出結果は、取得したエビデンスに照らして再検証します。エビデンスが主張と矛盾する場合は、理由を明示したうえで拒否します。

4. 正直な信頼度。 信頼度の数値は、possible ではなく confirmed とマークされた検出結果の割合であり、表面上の 100% ではありません。

ツール (24)

診断

• full_diagnose — すべてを一度に: スコア、検出結果、ホットスポット、デッドコード、型

• quantum_score — 10 次元の重み付け評価 (S/A/B/C/D/F)、再現可能

• swarm_intel — 全スキャナーを並列実行 + 批判ループ

• cheat_sheet — エージェント向けの約150トークのリポジトリ概要

セキュリティ

• security_scan — シークレット、SQL インジェクション、XSS、パストラバーサル、弱い暗号、CORS、オープンリダイレクト、プロトタイプ汚染

• standards_check — OWASP Top 10、SOLID、12-Factor、クリーンアーキテクチャ

• dependency_risk — リスクのあるパッケージ、ワイルドカードバージョン、ハードウェアの欠落

品質

• code_quality — 空の catch、console.log、@ts-ignore、any、巨大すぎるファイル

• type_coverage — TypeScript の厳格さスコア

• memory_scan — リスナリーク、useEffect のクリーンアップ欠落、タイマーリーク

• test_coverage — カバレッジ率、アサーションのないテスト、スキップされたテスト

• dead_exports — どこからもインポートされていないエクスポートされたシンボル

Git インテリジェンス

• git_hotspots — 過去90日間のチャーンが最も大きいファイル（チャーンはバグと相関します）

RAG グラウンディング

• rag_retrieve — BM25 コード検索、ローカル、外部 API メントゼロ

• ground_finding— シンボルを含む関数全体とすべての呼び出し元

• critique_report — と拒否された誤検知とその理由

アクション

• auto_diagnose — 自己修復ループ: 診断 → 修正 → 再評価 → 反復

• verify_all — ビルド、lint、テストを実行し、出力をキャプチャ

• risk_assess — 4次元のリスク → 完全自律 / 混合 / 構造化モード

• gap_analysis — 欠損している CI、リンター、README、tsconfig

• search —ripgrep ベース、grep の32倍

• think — 構造化された思考の记录の雛形

• memory_set / memory_get — セッションをまたぐ永続化

3 つのプロンプト: deep_audit、production_gate、debug_root_cause 3 つのリソース: argus://{path}/health、/summary、/hotspots

インストール

Claude Code

claude mcp add argus -- npx -y @cerionautomation/argus

Claude Desktop — claude_desktop_config.json に追加:

{
  "mcpServers": {
    "argus": {
      "command": "npx",
      "args": ["-y", "@cerionautomation/argus"]
    }
  }
}

ソースから

git clone https://github.com/CerisonAutomation/argus-mcp
cd argus-mcp && npm install && npm run build

エンジニアリング

• ランタイム依存性は MCP SDK と Zod 以外ゼロ

• すべてのスキャナーにサーキットブレーカー — エージェントがハングしない

• 安全なウォーカー — 合計30MB / ファイル500KBの上限、深さ制限付き

• 安全な exec — 引数配列で execFileSync を使用し、決して shell: true を使わない

• 厳密な TypeScript — exactOptionalPropertyTypes、noUncheckedIndexedAccess

• MCP Spec 2025-06-18 — 注釈、構造コンテンツ、出力スキーマ

ベンチマーク

99,681 行 / 631 ファイルの Next.js + TypeScript 本番コードベースで測定:

ライセンス

MIT © Cerison Brown

作者: Cerison Brown — SDET | QA 自動化エンジニア | AI ワークフロー & システム自動化エンジニア