Kitsune 漏洞研究 MCP

此本地 MCP 服务器将漏洞情报、研究范围、扫描结果、证据凭证、Bugcrowd VRT 评估以及报告草稿保存在一个 SQLite 账本中。

它专为授权的防御性研究而构建。它不会扫描目标、执行漏洞利用、运行 shell 命令、提交报告或发布披露信息。

数据源

该服务器使用固定的适配器。调用者无法提供其他来源。

CVE.org 是规范记录。NVD 是丰富信息和近期记录发现。KEV 和 EPSS 是独立信号。VRT 是技术基线，并非授权或保证的奖励评级。

Related MCP server: MoonMCP

要求

• Node.js 24 或更新版本

• npm 10 或更新版本

• 如果要导入 SARIF 或证据文件，需要一个绝对导入根目录

公共源不需要 API 密钥。NVD_API_KEY 是可选的，仅发送给 NVD。

安装与验证

npm install
npm test
npm run check
npm run lint
npm run build

源代码根据 MIT 许可证提供。该包未发布到 npm。

MCP 客户端配置

先构建，然后将客户端指向编译后的 stdio 入口点：

{
  "mcpServers": {
    "kitsune-vuln-research": {
      "command": "node",
      "args": [
        "--disable-warning=ExperimentalWarning",
        "C:\\path\\to\\kitsune-vuln-research-mcp\\dist\\index.js"
      ],
      "env": {
        "VULN_IMPORT_ROOTS": "C:\\absolute\\path\\to\\scanner-output",
        "VULN_LOG_LEVEL": "warn"
      }
    }
  }
}

许可证

MIT。请参见 LICENSE。

内置的 Node SQLite 模块在 Node 24 中仍会显示 ExperimentalWarning。这个简洁的命令行标志可将该警告排除在 MCP stderr 之外，同时不会抑制其他警告类别。

配置

运行时状态保存在 VULN_DATA_DIR 下：

vuln-research.sqlite
cases/
  <case-id>/
    evidence/
    exports/

SQLite 使用外键、WAL 模式、预编译语句和仅追加的事件凭证。源负载和证据使用 SHA-256 哈希。

情报工具

候选排序是研究优先级。它不能替代 CVSS、VRT、复现影响或项目规则。

研究工具

在此注册范围并不会创建权限。authorization_ref 必须指向真实的漏洞奖励简报、合同、工单或实验室授权。

正常流程

1. 设置 VULN_IMPORT_ROOTS 为扫描输出目录。

2. 刷新最近的 CVE、KEV、EPSS 和 VRT。

3. 注册真实项目范围和有效期窗口。

4. 为一个确切目标和允许的方法创建一个案例。

5. 在此 MCP 外部运行 Semgrep、CodeQL、Trivy、Grype 或其他批准的扫描器。

6. 导入其 SARIF 输出并记录复现证据。

7. 选择一个终端 VRT 路径并记录实际影响。

8. 导出一个本地草稿供人工审查。

扫描器消息和公告文本被视为不可信数据。它们无法更改范围、工具选择、SQL、路径或报告结构。

导入安全

• 导入根目录必须为绝对路径并明确配置。

• 规范路径必须保持在允许的根目录内。

• 符号链接导入、Windows 设备路径和备用数据流将被拒绝。

• 文件默认限制为 25 MiB。

• 存储的证据名称由服务器生成。

• 重复的证据和 SARIF 结果通过哈希或稳定指纹识别。

过期源和离线工作

使用缓存情报之前，请调用 vuln_get_source_status。NVD、KEV、EPSS 和 VRT 在 24 小时后过期。规范 CVE 和 OSV 查询状态在 7 天后过期。

如果源不可用，最后一次良好的缓存保持可读。当一个会话必须不发出任何网络请求时，设置 VULN_OFFLINE=true。

测试

测试套件默认使用记录的固定数据。它涵盖模式、源限制、来源隔离、范围匹配、路径包含、SARIF 提示注入字符串、证据哈希、VRT 评估、报告转义、MCP 发现和重启持久性。

evaluation.xml 包含十个稳定、只读的问题，基于 tests/fixtures 下的固定 2026 年固定数据。

在运行评估之前，先构建并将这些固定数据植入到一个新的绝对数据目录中：

npm run seed:evaluation -- C:\absolute\unused\evaluation-data

植入器拒绝覆盖现有数据库。启动评估服务器时，将 VULN_DATA_DIR 指向该目录。