Weavatrix Online

ネットワーク全体でリポジトリインテリジェンスを活用しつつ、ネットワークにリポジトリを渡さない。

Weavatrixエコシステムの明示的なネットワーク境界。CoreとRefactorは別々のインストールとして残ります。

Weavatrix Onlineは、Weavatrix Cloudおよび互換性のある顧客管理エンドポイント向けのMITライセンスのMCPコネクタです。分析をローカルに保ち、検査可能なソースフリーのペイロードを生成し、そのペイロードがマシンを離れる前に正確な短時間有効な確認を要求します。

公開されているOnlineプロファイルは、エンドポイント検出、アドバイザリ、マルウェアレビュー、アーキテクチャ契約、および制御された同期のための7つのMCPツールを公開しています。ローカルのweavatrix-jsグラフエンジンは実装の詳細です。そのツールは再エクスポートされないため、Core、Refactor、Onlineを一緒にインストールしても、エージェントのコンテキストでカタログが重複することはありません。

Onlineをインストールまたは起動しても、何も同期されません。preview_syncはネットワークリクエストを行いません。sync_graphは、同じリポジトリ、宛先、ペイロード、グラフに対して、まだ有効なプレビューのみを受け入れます。

適切なWeavatrixパッケージの選択

Onlineは現在、内部でJavaScriptのグラフ/ランタイムパッケージを使用しています：

weavatrix-online 0.3.4
  └─ weavatrix-js 0.3.x (internal; no Core tools re-exported)

ネイティブのweavatrix実行可能ファイルをプロキシしたり、weavatrix-refactorをインポートしたり、いずれかのエンジンをコピーしたりしません。グラフを完全にローカルに保つ必要がある場合はweavatrixを使用してください。エンドポイントステータス、リモート管理されたアーキテクチャ契約、アドバイザリの更新、または明示的なソースフリー同期がワークフローの一部である場合はweavatrix-onlineを使用してください。

Related MCP server: sagaz-mcp

インストールと実行

Cursor、Codex、Claude、Grok用プラグイン

リポジトリには、plugins/weavatrix-onlineにある1つのポータブルプラグインバンドルと、4つのクライアントすべてのネイティブマーケットプレイスマニフェストが含まれています。プラグインは固定されたnpmリリースを起動し、Onlineメソッドごとに遅延ロードされる1つのカードを持つ、オプションのコンパクトなスキルを含みます。

codex plugin marketplace add Weavatrix/weavatrix-online --sparse .agents/plugins plugins/weavatrix-online
codex plugin add weavatrix-online@weavatrix-online

claude plugin marketplace add Weavatrix/weavatrix-online --sparse .claude-plugin plugins
claude plugin install weavatrix-online@weavatrix-online

grok plugin marketplace add Weavatrix/weavatrix-online

Cursorは~/.cursor/plugins/local/weavatrix-onlineからバンドルをローカルに読み込むことができます。公開マーケットプレイスの検出は、リストがレビューおよび承認された後に開始されます。

直接MCP起動

グローバルインストールなしで固定リリースを実行します：

npx -y weavatrix-online@0.3.4 C:\path\to\repository

このコマンドはstdio MCPサーバーを起動します。最初の位置引数は分析するリポジトリです。既存のグラフを明示的に指定できます：

npx -y weavatrix-online@0.3.4 C:\graphs\repository\graph.json C:\path\to\repository

npmパッケージは意図的に実行可能なMCP製品です。存在しないJavaScriptライブラリのエントリポイントを宣伝しません。

Codex

[mcp_servers.weavatrix_online]
command = "npx"
args = ["-y", "weavatrix-online@0.3.4", "C:\\path\\to\\repository"]

[mcp_servers.weavatrix_online.env]
WEAVATRIX_SYNC_URL = "https://app.weavatrix.com/api/v1/graphs/sync"
WEAVATRIX_SYNC_TOKEN = "load-from-runtime-secret-storage"

Claude Desktop

{
  "mcpServers": {
    "weavatrix-online": {
      "command": "npx",
      "args": [
        "-y",
        "weavatrix-online@0.3.4",
        "C:\\path\\to\\repository"
      ],
      "env": {
        "WEAVATRIX_SYNC_URL": "https://app.weavatrix.com/api/v1/graphs/sync",
        "WEAVATRIX_SYNC_TOKEN": "load-from-runtime-secret-storage"
      }
    }
  }
}

ベアラートークンはMCPクライアントのランタイムシークレットストレージに保管してください。Git、コミットされた.env、リリースログ、またはチェックインされたMCP設定に置かないでください。

7つのOnlineツール

読み取り専用のリポジトリインテリジェンスにはWeavatrix Coreを、保護されたソース変更にはWeavatrix Refactorをインストールしてください。それらのメソッドは所有する製品に残ります。

典型的なワークフロー

リポジトリ作業を行う前にエンドポイントの互換性を確認します：

{"name":"online_status","arguments":{"timeout_ms":10000}}

アドバイザリの証拠を更新し、ローカルで評価します：

{"name":"refresh_advisories","arguments":{"timeout_ms":20000}}
{"name":"scan_dependency_vulnerabilities","arguments":{"max_age_days":30}}

送信せずに正確なアップロードを確認します：

{"name":"preview_sync","arguments":{"payload_version":3}}

人間または信頼できるコントローラーが表示された宛先、セクションの要約、カウント、サイズ、本文ハッシュを承認した後、返されたトークンを使用します：

{
  "name": "sync_graph",
  "arguments": {
    "payload_version": 3,
    "dry_run": false,
    "confirm_token": "token-returned-by-preview_sync",
    "timeout_ms": 30000
  }
}

グラフ、リポジトリ、宛先、ペイロード、または有効期限状態を変更すると、その承認は無効になります。拒否された、または利用できないエンドポイントは、グラフをローカルに残します。

ネットワークと同意の境界

local repository
      │
      ▼
local graph + derived evidence
      │
      ▼
preview_sync ── inspect destination, sections, counts, size, and SHA-256
      │
      ▼
explicit approval
      │
      ▼
sync_graph ── capability negotiation ── approved endpoint

コネクタは以下を強制します：

• すべての非ループバック宛先へのHTTPS;

• ローカル開発用のループバックのみのHTTP;

• URLに資格情報を埋め込まない;

• アップロード前のエンドポイント機能ネゴシエーション;

• 境界のあるバージョン付きペイロード許可リスト;

• 正確なプレビューハッシュと短時間有効な確認トークン;

• 証拠が不完全な場合の正直なNOT_CHECKEDおよびPARTIAL状態。

同期ペイロードには、境界のあるグラフトポロジーと選択された派生証拠が含まれます。ソース本文、スニペット、絶対ホストパス、環境値、資格情報、Gitリモート、およびワイヤー許可リスト外のフィールドは除外されます。「ソースフリー」は匿名を意味しません。承認前に、表示されたリポジトリID、宛先、カウント、セクション、ハッシュを確認してください。

設定

互換性のあるエンドポイントは、バージョン付きの機能および同期契約を実装する必要があります。機能検出自体はリポジトリの証拠を送信しません。

誤った確実性のないセキュリティ証拠

アドバイザリの更新は、境界のあるリポジトリマニフェストで見つかった固定されたnpm、PyPI、Go、Maven/Gradle、およびcrates.io座標をカバーします。現在のインベントリが完全で最新のOnlineキャッシュと一致する場合にのみ、クリーンなゼロが許可されます。

マルウェアレビューは静的かつ境界があります。ダウンロードアンド実行ライフサイクルスクリプト、リバースシェルパターン、デコードされた実行、マイナーインジケータ、資格情報ファイルの読み取り、または不審な流出エンドポイントなどの証拠を特定できます。実行、来歴、資格情報の露出、安全性、または侵害を証明することはできません。

アーキテクチャ契約は、アクティブになる前にローカルで検証されます。

脆弱性はGitHub Security Advisoriesを通じて非公開で報告してください。

アーキテクチャ

コネクタは厳密なモジュラーポートアンドアダプタシステムです：

policy
  └─ discovery adapters
       └─ security cache and evidence services
            └─ Online actions
                 └─ MCP composition and executable

• policy: 宛先検証、バージョン照合、インベントリID、マルウェア証拠ルール;

• discovery: 境界のあるマニフェストおよびインストール済みパッケージアダプタ;

• security: 原子的なアドバイザリ状態、キャッシュされた照合、スキャン、レポート;

• online-actions: 機能、契約、アドバイザリ、プレビュー、同期のユースケース;

• composition: 拡張登録、ランチャー、stdio実行可能ファイル。

チェックインされたアーキテクチャ契約は、ゼロランタイムサイクル、本番ファイルを物理行300行以下、関数を物理行100行以下に強制し、例外や違反ベースラインはありません。

開発とリリースの証明

npm ci --ignore-scripts
npm test
npm run verify:release
npm audit
npm pack --dry-run --json

リリースゲートは、パッケージID、依存関係範囲、正確なインストールバージョン、MCPレジストリメタデータ、チェックインされたリリースノート、MITライセンス、公開ファイル許可リスト、タグ/バージョンの一致を検証します。CIはNode.js 24でテスト、セキュリティ監査、パッケージドライランを繰り返します。

ライセンス

MIT。Weavatrix Onlineとその内部weavatrix-jsランタイムは、独立してバージョン管理されたMITライセンスのパッケージです。