ARGUS

Автономный страж репозитория и унифицированный сканер

«Сто глаз на вашей кодовой базе.»

MCP-сервер, который даёт любому ИИ-агенту полную осведомлённость о состоянии кодовой базы — безопасность, качество, архитектура, типобезопасность, git-история и мёртвый код — с нулевой инфраструктурой.

Ни сервера. Ни базы данных. Ни CI-плагина. Ни API-ключей. Никакие данные не покидают вашу машину.

npx @cerionautomation/argus

Зачем это существует

Спросите ИИ-ассистента «безопасна ли моя кодовая база?» — и он ответит наугад, потому что видит только тот файл, который вы вставили. Он не видит остальные 400 файлов, не запускает ваши тесты и не проверяет git-историю.

ARGUS это исправляет. Подключите его как MCP-сервер — и агент получит 24 инструмента, которые читают весь репозиторий, оценивают его по 10 измерениям и возвращают структурированный JSON, с которым можно работать.

Related MCP server: arch-viewer

ARGUS vs SonarQube

Где SonarQube по-прежнему сильнее: поддержка 30+ языков (ARGUS фокусируется на TS/JS/Python/Go), десятилетия настройки правил, сертификаты соответствия и дашборды для нескольких команд с историческими трендами. ARGUS не пытается заменить корпоративное развёртывание с quality gates — он заменяет петлю обратной связи между ИИ-агентом и вашим кодом.

Точность: измеренная, а не заявленная

Большинство сканеров заваливают вас ложными срабатываниями. ARGUS проверяет каждое срабатывание на его собственных доказательствах и отклоняет те, что не подтверждаются.

Реальный результат на продакшн-кодовой базе Next.js из 99 681 строки:

Четыре отклонённых ложных срабатывания:

• "select your dates" в разделе FAQ — помечено как SQL-инъекция

• select=accessToken в REST URL — помечено как SQL-инъекция

• console.log, помеченный как захардкоженный секрет (корректно переклассифицирован как логирование секретов)

Каждое отклонение можно проверить через critique_report.

Как работает точность

1. Многоступенчатое обнаружение. В результате SQL-инъекция требует три независимые проверки:

• Валидный SQL-запрос (SELECT … FROM, не просто слово "select")

• Исполнитель запроса в пределах 2 строк (.query(, $queryRaw, knex.)

• Не URL и не REST-строка запроса

2. Проверка энтропии на секреты. Секрет должен иметь известный префикс ключа (sk-, ghp_, AKIA, AIza) или настоящую энтропию — смешанный регистр, цифры, 20+ символов. Интерполированные значения, ссылки на переменные окружения и объявления типов исключены.

3. Семантическая критика. Каждое выжившее срабатывание перепроверяется по собранной собственно для него доказательной базе. Если доказательства противоречат выводу, оно отклоняется с указанной причиной.

4. Честная уверенность. Показатель уверенности — это доля результатов со статусом confirmed, а не possible, — а не косметическое 100%.

Инструменты (24)

Диагностика

• full_diagnose — всё сразу: оценка, срабатывания, горячие точки, мёртвый код, типы

• quantum_score — взвешенная оценка по 10 измерениям (S/A/B/C/D/F), воспроизводимая

• swarm_intel — все сканеры параллельно + цикл критики

• cheat_sheet — ориентация в репозитории для агента за ~150 токенов

Безопасность

• security_scan — секреты, SQLi, XSS, обход каталога, слабая криптография, CORS, открытые редиректы, загрязнение прототипов, TLS

• standards_check — OWASP Top 10, SOLID, 12-Factor, Clean Architecture

• dependency_risk — рискованные пакеты, wildcard-версии, отсутствующий lockfile

Качество

• code_quality — пустые catch, console.log, @ts-ignore, any, большие файлы

• type_coverage — оценка строгости TypeScript

• memory_scan — утечки слушателей, отсутствие useEffect cleanup, утечки таймеров

• test_coverage — доля покрытия, тесты без утверждений, пропущенные тесты

• dead_exports — экспортируемые символы, которые никто не импортирует

Git-аналитика

• git_hotspots — файлы с самым большим количеством изменений за 90 дней (чем больше изменений — тем больше багов)

RAG-обоснование

• rag_retrieve — локальный BM25-поиск по коду, ноль вызовов API

• ground_finding — полная содержания фрагмента функция + все вызовы символа

• critique_report — каждое отклонённое ложное срабатывание с причиной

Действия

• auto_diagnose — самовосстанавливающийся цикл: диагностика → исправление → переоценка → повтор

• verify_all — сборка, линт, тесты с полным сохранённым выводом

• risk_assess — 4-мерная оценка риска → режим полной автономии / смешанный / структурированный

• gap_analysis — отсутствующие CI, линтер, README, tsconfig

• search — на основе ripgrep, в 32 раза быстрее grep

• think — структурированная основа для chain-of-thought

• memory_set / memory_get — сохранение данных между сессиями

3 промпта: deep_audit, production_gate, debug_root_cause 3 ресурса: argus://{path}/health, {path}/summary, {path}/hotspots

Установка

Claude Code

claude mcp add argus -- npx -y @cerionautomation/argus

Claude Desktop — добавьте в claude_desktop_config.json:

{
  "mcpServers": {
    "argus": {
      "command": "npx",
      "args": ["-y", "@cerionautomation/argus"]
    }
  }
}

Из исходников

git clone https://github.com/CerisonAutomation/argus-mcp
cd argus-mcp && npm install && npm run build

Инженерия

• Ноль рантайм-зависимостей — только MCP SDK и Zod

• Автоматические выключатели (circuit breakers) на каждом сканере — агент никогда не зависнет

• Безопасный по памяти обход кода (memory-safe walker) — лимиты: 30 MB всего / 500 КБ на файл, ограничение глубины

• Безопасный exec — execFileSync с массивом аргументов, никогда shell: true

• Строгий TypeScript — exactOptionalPropertyTypes, noUncheckedIndexedAccess

• MCP Spec 2025-06-18 — аннотации инструментов, структурированный контент, схемы вывода

Бенчмарки

Измерено на продакшн-кодовой базе Next.js + TypeScript: 99 681 строк, 631 файл:

Лицензия

MIT © Cerison Brown

Автор: Cerison Brown — SDET | Инженер автоматизации QA | Инженер автоматизации ИИ-процессов и систем