ARGUS

自主仓库守护与统一扫描器

“守护你代码库的一百双眼睛。”

一个 MCP 服务器，让任何 AI 智能体都能对代码库拥有完整的情境感知——安全、质量、架构、类型安全、git 历史、死代码——且零基础设施。

无需服务器。无需数据库。无需 CI 插件。无需 API 密钥。数据不会离开你的机器。

npx @cerionautomation/argus

为什么需要它

你问 AI 助手“我的代码库安全吗？”，它只能靠猜——因为它只能看到你粘贴的那个文件。它看不到其他 400 个文件，无法运行你的测试，也无法检查你的 git 历史。

ARGUS 解决了这个问题。将它作为 MCP 服务器接入后，智能体就能获得 24 个工具，读取整个仓库、从 10 个维度进行评分，并返回它可以直接行动的结构化 JSON。

Related MCP server: arch-viewer

用户使用对使用者对比

但 SonarQube 仍有优势： 支持 35 种以上语言（ARGUS 聚焦 TS/JS/Python/Go）、几十年规则沉淀、满足合规认证、面向多团队的历史趋势仪表板。ARGUS 并非想取代企业质量门禁部署；它替代的是 AI 智能体与代码之间的反馈循环。

准确性：实测，而非自封

多数扫描器会用大量误报淹没你。ARGUS 会凭其现实证据，拒绝经不起验证的结论。

在一个 99,681 行的 Next.js 生产仓库上的实测结果：

被消除的 4 条误报则是：

• 在 FAQ 页文案里的 "select your dates" 触发了 SQL 注入检测

• select=accessToken 出现在 请用 REST URL，也会被报成 SQL 注入

• 为 console.log 加上硬编码凭据标记 (被修订为“日志记录密钥泄露”)

每条拒绝都可通过 critique_report 复核。

准确率具体

1. 多级门控。 一条 SQL 注入检测至少要三条独立证据同时支持：

• 结构正确的 SQL 语句（SELECT … FROM，而不是“select”这个单词）

• 上下文为 SQL 执行函数（.query(、$queryRaw（、knex.）

• 对象是 URL 或 REST 查询字符串

2. 密钥熵检测。 一个密码必须有已知密钥前缀（sk-、ghp_、AKIA、AIza）或同时具有大小写字母、数字且长度 20+。注入变量、环境变量引用、纯粹的类型定义都会被排除。

3. 语义审查。 每条保留的发现都会被返回其捕获时的上下文去人工复核。一旦证据表明是误报，会明确给定一条 reason 然后拒绝。

4. 诚实信任度。 confidence 数值 = 检查中标记为 confirmed（而非 possible）的比例——实打实的数字，而不是什么成品的百 100%。

支持工具（24 个）

诊断

• full_diagnose — 运行一次分析：score、findings、hotspots、dead exports、types

• quantum_score — 非常便携，10 维度加权评分（S/A/B/C/D/F），可诱导概率性

• swarm_intel — 并行运行全部分析器 + 审查 loop

• cheat_sheet — 约 150 token 给智能体的仓库速览

安全

• security_scan — 密钥、SQLi、XSS、路径穿越、弱加密、CORS、开放重定向、原型污染、TLS

• standards_check( — OWASP Top 10、SOLID、12-Factor、Clean Architecture

• dependency_risk — 有问题的依赖、通配符版本、无 lockfile

质量

• code_quality — 空 catch、console.log、@ts-ignore、any、过大文件

• type_coverage — TypeScript 严格程度得分

• memory_scan — 监听器泄漏、缺失清理的 useEffect effect、定时泄漏

• test_scan — 覆盖率、无断言的测试、跳过测试

• dead_exports — 导出的符号但没有任何地方引用

Git 智能

• git_hotspots — 90天内翻转变更最多的文件（churn 与 bug 概率相关）

RAG 定位

• rag_retrieve — BM25 本地召回，不调用任何 API

• ground_finding — 获取函数的完整上下文实体及每个调用方

• critique_report — 每条被拒误报及其理由

行动

• auto_diagnose — 自愈性循环：诊断 → 修复 → 重新评分 → 迭代

• verify_all — 构建、lint、测试中间捕获输出

• risk_assess 四维风险 　боу 输出 Full Autonomy / Mixed / Structured 模式

• gap_analysis — 缺失 CI、linter、README、tsconfig

• search — ripgrep 实现，比 grep 快 32 倍 *

• think 结构化思维链脚手架

• memory_set / memory_get — 跨 session 持久记忆

3.prompts： deep_audit、production_gate、debug_root_cause 3 个资源： argus://{path}/health、 /summary、/hotspots

安装

Claude Code

claude mcp add argus -- npx -y @cerionautomation/argus

Claude Desktop 上——添加至 claude_desktop_config.json：

{
  "mcpServers": {
    "argus": {
      "command": "npx",
      "args": ["-y", "@cerionautomation/argus"]
    }
  }
}

Manual 手动操作

git clone https://github.com/CerisonAutomation/argus-mcp
cd argus-mcp && npm install && npm run build

实现形态

• 零运行时依赖，除了 MCP SDK 和 Zod 之外

• 每个扫描器均有断路器——不会把智能体挂住

• 内存安全递归——总量 30MB / 单文件落 500KB，且限制深度

• 安全执行——execFileSync 配参数数组，永不含 shell: true

• 严格的 TypeScript—exactOptionalPropertyTypes、noUncheckedIndexedAccess

• Strict Spec 2025-06-18 —工具注解、结构化 content、输出 schema

测试基准

是在一个 99,681 行 / 631 个文件的 Next.js + TypeScript 生产项目上的实测：

许可证

MIT © Cerison Brown

由 Cerison Brown 创建 — SDET | QA 自动化工程师 | AI 工作流与系统自动化工程师