Weavatrix Online

네트워크에 저장소를 넘기지 않고 네트워크 전반의 저장소 인텔리전스를 확보하세요.

Weavatrix 생태계의 명시적 네트워크 경계입니다. Core와 Refactor는 별도 설치로 유지됩니다.

Weavatrix Online은 Weavatrix Cloud 및 호환되는 고객 제어 엔드포인트를 위한 MIT 라이선스 MCP 커넥터입니다. 분석을 로컬에서 유지하고, 검사 가능한 소스 프리 페이로드를 생성하며, 해당 페이로드가 머신을 떠나기 전에 정확한 단기 확인을 요구합니다.

공개 Online 프로필은 엔드포인트 검색, 권고, 멀웨어 검토, 아키텍처 계약, 제어된 동기화를 위한 7개의 MCP 도구를 노출합니다. 로컬 weavatrix-js 그래프 엔진은 구현 세부 사항입니다. 해당 도구는 재수출되지 않으므로 Core, Refactor, Online을 함께 설치해도 에이전트 컨텍스트에서 카탈로그가 중복되지 않습니다.

Online을 설치하거나 시작해도 아무것도 동기화되지 않습니다. preview_sync는 네트워크 요청을 하지 않으며, sync_graph는 동일한 저장소, 대상, 페이로드, 그래프에 대해 여전히 유효한 미리보기만 허용합니다.

올바른 Weavatrix 패키지 선택

Online은 현재 내부적으로 JavaScript 그래프/런타임 패키지를 사용합니다:

weavatrix-online 0.3.4
  └─ weavatrix-js 0.3.x (internal; no Core tools re-exported)

네이티브 weavatrix 실행 파일을 프록시하지 않으며, weavatrix-refactor를 가져오거나 두 엔진을 복사하지 않습니다. 그래프가 완전히 로컬로 유지되어야 하는 경우 weavatrix를 사용하세요. 엔드포인트 상태, 원격 관리 아키텍처 계약, 권고 새로고침, 또는 명시적 소스 프리 동기화가 워크플로의 일부인 경우 weavatrix-online을 사용하세요.

Related MCP server: hve-squad MCP server

설치 및 실행

Cursor, Codex, Claude, Grok용 플러그인

저장소에는 이제 plugins/weavatrix-online에 하나의 휴대용 플러그인 번들과 네 가지 클라이언트 모두를 위한 네이티브 마켓플레이스 매니페스트가 포함되어 있습니다. 플러그인은 고정된 npm 릴리스를 시작하며 Online 메서드당 하나의 지연 로드 카드가 있는 선택적이고 간결한 스킬을 포함합니다.

codex plugin marketplace add Weavatrix/weavatrix-online --sparse .agents/plugins plugins/weavatrix-online
codex plugin add weavatrix-online@weavatrix-online

claude plugin marketplace add Weavatrix/weavatrix-online --sparse .claude-plugin plugins
claude plugin install weavatrix-online@weavatrix-online

grok plugin marketplace add Weavatrix/weavatrix-online

Cursor는 ~/.cursor/plugins/local/weavatrix-online에서 번들을 로컬로 로드할 수 있습니다. 공개 마켓플레이스 검색은 목록이 검토되고 승인된 후 시작됩니다.

직접 MCP 실행

전역 설치 없이 고정된 릴리스를 실행하세요:

npx -y weavatrix-online@0.3.4 C:\path\to\repository

이 명령은 stdio MCP 서버를 시작합니다. 첫 번째 위치 인수는 분석할 저장소입니다. 기존 그래프를 명시적으로 제공할 수 있습니다:

npx -y weavatrix-online@0.3.4 C:\graphs\repository\graph.json C:\path\to\repository

npm 패키지는 의도적으로 실행 가능한 MCP 제품입니다. 존재하지 않는 JavaScript 라이브러리 진입점을 광고하지 않습니다.

Codex

[mcp_servers.weavatrix_online]
command = "npx"
args = ["-y", "weavatrix-online@0.3.4", "C:\\path\\to\\repository"]

[mcp_servers.weavatrix_online.env]
WEAVATRIX_SYNC_URL = "https://app.weavatrix.com/api/v1/graphs/sync"
WEAVATRIX_SYNC_TOKEN = "load-from-runtime-secret-storage"

Claude Desktop

{
  "mcpServers": {
    "weavatrix-online": {
      "command": "npx",
      "args": [
        "-y",
        "weavatrix-online@0.3.4",
        "C:\\path\\to\\repository"
      ],
      "env": {
        "WEAVATRIX_SYNC_URL": "https://app.weavatrix.com/api/v1/graphs/sync",
        "WEAVATRIX_SYNC_TOKEN": "load-from-runtime-secret-storage"
      }
    }
  }
}

베어러 토큰은 MCP 클라이언트의 런타임 비밀 저장소에 보관하세요. Git, 커밋된 .env, 릴리스 로그, 또는 체크인된 MCP 구성에 넣지 마세요.

일곱 가지 Online 도구

읽기 전용 저장소 인텔리전스를 위해 Weavatrix Core를 설치하고, 보호된 소스 변경을 위해 Weavatrix Refactor를 설치하세요. 해당 메서드는 소유 제품에 남아 있습니다.

일반적인 워크플로

저장소 작업 전에 엔드포인트 호환성을 확인하세요:

{"name":"online_status","arguments":{"timeout_ms":10000}}

권고 증거를 새로고침한 다음 로컬에서 평가하세요:

{"name":"refresh_advisories","arguments":{"timeout_ms":20000}}
{"name":"scan_dependency_vulnerabilities","arguments":{"max_age_days":30}}

전송하지 않고 정확한 업로드를 검토하세요:

{"name":"preview_sync","arguments":{"payload_version":3}}

사람 또는 신뢰할 수 있는 컨트롤러가 표시된 대상, 섹션 요약, 개수, 크기, 본문 해시를 승인한 후 반환된 토큰을 사용하세요:

{
  "name": "sync_graph",
  "arguments": {
    "payload_version": 3,
    "dry_run": false,
    "confirm_token": "token-returned-by-preview_sync",
    "timeout_ms": 30000
  }
}

그래프, 저장소, 대상, 페이로드 또는 만료 상태를 변경하면 해당 승인이 무효화됩니다. 거부되거나 사용할 수 없는 엔드포인트는 그래프를 로컬로 유지합니다.

네트워크 및 동의 경계

local repository
      │
      ▼
local graph + derived evidence
      │
      ▼
preview_sync ── inspect destination, sections, counts, size, and SHA-256
      │
      ▼
explicit approval
      │
      ▼
sync_graph ── capability negotiation ── approved endpoint

커넥터는 다음을 강제합니다:

• 모든 비루프백 대상에 대한 HTTPS;

• 로컬 개발을 위한 루프백 전용 HTTP;

• URL에 자격 증명 없음;

• 업로드 전 엔드포인트 기능 협상;

• 제한된 버전 페이로드 허용 목록;

• 정확한 미리보기 해싱 및 단기 확인 토큰;

• 증거가 불완전할 때 정직한 NOT_CHECKED 및 PARTIAL 상태.

동기화 페이로드에는 제한된 그래프 토폴로지와 선택된 파생 증거가 포함됩니다. 소스 본문, 스니펫, 절대 호스트 경로, 환경 값, 자격 증명, Git 원격, 와이어 허용 목록 외부 필드는 제외됩니다. "소스 프리"가 익명을 의미하지는 않습니다. 승인 전에 표시된 저장소 ID, 대상, 개수, 섹션, 해시를 검토하세요.

구성

호환되는 엔드포인트는 버전이 지정된 기능 및 동기화 계약을 구현해야 합니다. 기능 검색 자체는 저장소 증거를 전송하지 않습니다.

잘못된 확신 없는 보안 증거

권고 새로고침은 제한된 저장소 매니페스트에서 찾은 고정된 npm, PyPI, Go, Maven/Gradle, crates.io 좌표를 다룹니다. 현재 인벤토리가 완전하고 최신인 Online 캐시와 일치하는 경우에만 깨끗한 0이 허용됩니다.

멀웨어 검토는 정적이고 제한적입니다. 다운로드-및-실행 수명주기 스크립트, 리버스 셸 패턴, 디코딩된 실행, 채굴기 지표, 자격 증명 파일 읽기, 또는 의심스러운 유출 엔드포인트와 같은 증거를 식별할 수 있습니다. 실행, 출처, 자격 증명 노출, 안전성 또는 손상을 증명할 수는 없습니다.

아키텍처 계약은 활성화되기 전에 로컬에서 검증됩니다.

취약점은 GitHub Security Advisories를 통해 비공개로 보고하세요.

아키텍처

커넥터는 엄격한 모듈식 포트-및-어댑터 시스템입니다:

policy
  └─ discovery adapters
       └─ security cache and evidence services
            └─ Online actions
                 └─ MCP composition and executable

• policy: 대상 검증, 버전 일치, 인벤토리 ID, 멀웨어 증거 규칙;

• discovery: 제한된 매니페스트 및 설치된 패키지 어댑터;

• security: 원자적 권고 상태, 캐시 일치, 스캔, 보고;

• online-actions: 기능, 계약, 권고, 미리보기, 동기화 사용 사례;

• composition: 확장 등록, 런처, stdio 실행 파일.

체크인된 아키텍처 계약은 예외 없이, 위반 기준 없이 런타임 순환 0, 프로덕션 파일 300물리적 줄 이하, 함수 100물리적 줄 이하를 강제합니다.

개발 및 릴리스 증명

npm ci --ignore-scripts
npm test
npm run verify:release
npm audit
npm pack --dry-run --json

릴리스 게이트는 패키지 ID, 종속성 범위, 정확한 설치 버전, MCP 레지스트리 메타데이터, 체크인된 릴리스 노트, MIT 라이선스, 게시된 파일 허용 목록, 태그/버전 일치를 검증합니다. CI는 Node.js 24에서 테스트, 보안 감사, 패키지 드라이런을 반복합니다.

라이선스

MIT. Weavatrix Online 및 내부 weavatrix-js 런타임은 독립적으로 버전이 지정된 MIT 라이선스 패키지입니다.