Investigación de vulnerabilidades Kitsune MCP

Este servidor MCP local mantiene inteligencia sobre vulnerabilidades, alcance de investigación, resultados de escáneres, recibos de evidencia, evaluaciones de Bugcrowd VRT y borradores de informes en un solo libro de contabilidad SQLite.

Está construido para investigación defensiva autorizada. No escanea objetivos, ejecuta exploits, ejecuta comandos de shell, envía informes ni publica divulgaciones.

Fuentes de datos

El servidor utiliza adaptadores fijos. Un llamante no puede proporcionar otro origen.

CVE.org es el registro canónico. NVD es enriquecimiento y descubrimiento de registros recientes. KEV y EPSS son señales separadas. VRT es una línea base técnica, no una autorización ni una calificación de recompensa garantizada.

Related MCP server: MoonMCP

Requisitos

• Node.js 24 o más reciente

• npm 10 o más reciente

• Una raíz de importación absoluta si se importarán archivos SARIF o evidencia

No se requiere clave API para las fuentes públicas. NVD_API_KEY es opcional y se envía solo a NVD.

Instalar y verificar

npm install
npm test
npm run check
npm run lint
npm run build

El código fuente está disponible bajo la licencia MIT. El paquete no está publicado en npm.

Configuración del cliente MCP

Construya primero, luego apunte el cliente al punto de entrada stdio compilado:

{
  "mcpServers": {
    "kitsune-vuln-research": {
      "command": "node",
      "args": [
        "--disable-warning=ExperimentalWarning",
        "C:\\path\\to\\kitsune-vuln-research-mcp\\dist\\index.js"
      ],
      "env": {
        "VULN_IMPORT_ROOTS": "C:\\absolute\\path\\to\\scanner-output",
        "VULN_LOG_LEVEL": "warn"
      }
    }
  }
}

Licencia

MIT. Ver LICENSE.

El módulo SQLite integrado de Node todavía lleva un ExperimentalWarning en Node 24. El indicador de línea de comandos específico mantiene esa advertencia fuera de stderr de MCP sin suprimir otras clases de advertencia.

Configuración

El estado en tiempo de ejecución se mantiene bajo VULN_DATA_DIR:

vuln-research.sqlite
cases/
  <case-id>/
    evidence/
    exports/

SQLite usa claves foráneas, modo WAL, declaraciones preparadas y recibos de eventos de solo anexión. Las cargas útiles de origen y la evidencia tienen hash SHA-256.

Herramientas de inteligencia

El orden de candidatos es prioridad de investigación. No reemplaza CVSS, VRT, impacto reproducido o reglas del programa.

Herramientas de investigación

Registrar un alcance aquí no crea permiso. authorization_ref debe apuntar al resumen de recompensa real, contrato, ticket o autorización de laboratorio.

Flujo de trabajo normal

1. Establecer VULN_IMPORT_ROOTS en el directorio de salida del escáner.

2. Actualizar CVEs recientes, KEV, EPSS y VRT.

3. Registrar el alcance del programa real y la ventana de validez.

4. Crear un caso para un objetivo exacto y un método permitido.

5. Ejecutar Semgrep, CodeQL, Trivy, Grype u otro escáner aprobado fuera de este MCP.

6. Importar su salida SARIF y registrar evidencia de reproducción.

7. Seleccionar una ruta VRT terminal y registrar el impacto real.

8. Exportar un borrador local para revisión humana.

Los mensajes del escáner y el texto de asesoramiento se tratan como datos no confiables. No pueden cambiar el alcance, la selección de herramientas, SQL, rutas o la estructura del informe.

Seguridad de importación

• Las raíces de importación deben ser absolutas y estar configuradas explícitamente.

• Las rutas canónicas deben permanecer dentro de una raíz permitida.

• Las importaciones de enlaces simbólicos, rutas de dispositivos de Windows y flujos de datos alternativos son rechazadas.

• Los archivos están limitados a 25 MiB por defecto.

• Los nombres de evidencia almacenados son generados por el servidor.

• La evidencia duplicada y los resultados SARIF se identifican mediante hashes o huellas dactilares estables.

Fuentes desactualizadas y trabajo sin conexión

Llamar a vuln_get_source_status antes de usar inteligencia en caché. NVD, KEV, EPSS y VRT están desactualizados después de 24 horas. El estado de consulta canónica de CVE y OSV está desactualizado después de siete días.

Si una fuente no está disponible, el último caché bueno permanece legible. Establecer VULN_OFFLINE=true cuando una sesión no deba realizar solicitudes de red.

Pruebas

El conjunto de pruebas utiliza accesorios grabados por defecto. Cubre esquemas, límites de origen, aislamiento de origen, coincidencia de alcance, contención de rutas, cadenas de inyección de mensajes SARIF, hash de evidencia, evaluación VRT, escape de informes, descubrimiento MCP y persistencia de reinicio.

evaluation.xml contiene diez preguntas estables y de solo lectura basadas en los accesorios fijos de 2026 bajo tests/fixtures.

Construya y siembre esos accesorios en un nuevo directorio de datos absoluto antes de ejecutar las evaluaciones:

npm run seed:evaluation -- C:\absolute\unused\evaluation-data

El sembrador se niega a sobrescribir una base de datos existente. Apunte VULN_DATA_DIR a ese directorio al iniciar el servidor de evaluación.