GitHub Security Analyzer — MCP

Ein KI-gestützter GitHub-Sicherheitsscanner. Melde dich mit deinem GitHub-Konto an, gib einen Repo-Namen ein, und die KI scannt jede Datei auf offengelegte Geheimnisse wie API-Schlüssel, Passwörter und Tokens – und gibt dir dann einen vollständigen Bericht mit dem, was du beheben solltest.

So funktioniert es

1. Login with GitHub (OAuth)
        ↓
   .github_token saved locally
        ↓
2. Run the agent
        ↓
   You type a repo name
        ↓
3. AI calls deep_security_scan tool
        ↓
   Fetches every file from the repo via GitHub API
        ↓
   Scans each file with 16 secret patterns (regex)
        ↓
4. AI reads the results and writes a report
        ↓
   Tells you what was found, which file, which line, and how to fix it

Related MCP server: github-security-mcp

Projektstruktur

├── login.py          # GitHub OAuth login — saves token to .github_token
├── github_client.py  # Wrapper around GitHub API calls
├── server.py         # MCP tools (list repos, scan files, read code, etc.)
├── agent.py          # AI agent loop — uses OpenRouter to run the scanner
├── requirements.txt  # Python dependencies
└── .env              # Your credentials (never commit this)

Einrichtung

1. Erstelle eine .env-Datei:

GITHUB_CLIENT_ID=your_github_app_client_id
GITHUB_CLIENT_SECRET=your_github_app_client_secret
FLASK_SECRET_KEY=any_random_string
OPENROUTER_API_KEY=your_openrouter_key

2. Abhängigkeiten installieren:

pip install -r requirements.txt

3. Mit GitHub anmelden:

python login.py

Öffne http://127.0.0.1:5000 → klicke auf „Login with Github" → autorisiere → fertig. Dadurch wird dein Token in .github_token gespeichert. Das musst du nur einmal tun.

Ausführung

Option A – KI-Agent (Terminal)

python agent.py

Gib einen Repo-Namen ein, wenn du dazu aufgefordert wirst. Die KI scannt ihn und gibt einen vollständigen Sicherheitsbericht aus.

Option B – MCP-Server (für Claude Desktop oder jeden MCP-Client)

mcp dev server.py

Wonach gescannt wird

Verfügbare MCP-Tools

Wichtig

• Committe niemals .github_token oder .env – beide sind in .gitignore

• Falls du dein Token versehentlich gepusht hast, widerrufe es sofort unter https://github.com/settings/tokens