Cyber Lens AI MCP サーバー

AI アシスタントとエージェント型コーディングワークフローのためのセキュリティスキャン。

AI アシスタントにウェブサイト、公開リポジトリ、Open CLAW スキルのセキュリティ脆弱性スキャン機能を提供する Model Context Protocol（MCP）サーバーです。エージェント型コーディング時代に特化して設計されており、スキルパッケージをインストールする前にスキャンするネイティブサポートを備えています。

機能概要

AI アシスタント（Claude Desktop、VS Code など）に接続すると、この MCP サーバーは会話中にアシスタントが使用できるセキュリティスキャンツールを追加します。

• CLAW スキルのスキャン -- インストール前にスキルパッケージをダウンロードし、展開して、実際のソースコードを危険なパターン、ハードコードされたシークレット、権限の問題について分析します

• ウェブサイトのスキャン -- アカウントなしでローカルのクイックモードで実行するか、接続時にはフルクラウドスキャンを使用します

• 公開リポジトリのスキャン -- 露出したシークレット、依存関係の脆弱性、不審なコードパターン、信頼性（トラストポスチャ）の問題を検出します

• 残りのクラウドスキャン枠の確認 -- 一括スキャンを開始する前に確認できます

• 修復ガイダンスの取得 -- ステップバイステップの修正手順とコード例を取得できます

会話例

You:    "I want to install this skill: https://clawhub.ai/skills/ontology"

Claude: I'll scan it for security issues first.

        [PASS] CLAW Skill Security Scan: ontology v1.0.4

        Security Score: 95/100
        Files Analyzed: 5

        Skill appears safe to install. Minor issues noted below.

        1. [MEDIUM] File write operation
           File: scripts/ontology.py:399
           Fix: Ensure file writes are limited to expected directories.

        The skill looks safe. It writes to the filesystem for its knowledge
        graph storage, which is expected behaviour for this type of skill.

Related MCP server: securityscan

はじめに

1. インストール

最初の npm リリース後、推奨されるインストール方法は次のとおりです:

npx -y @shadoprizm/cyberlens-mcp-server

それ以前、またはローカル開発や手動ビルドの場合は:

git clone https://github.com/shadoprizm/cyberlens-mcp-server.git
cd cyberlens-mcp-server
npm install
npm run build

2. AI アシスタントに追加

Claude Desktop -- ~/Library/Application Support/Claude/claude_desktop_config.json（macOS）または %APPDATA%\Claude\claude_desktop_config.json（Windows）に追加:

{
  "mcpServers": {
    "cyberlens": {
      "command": "npx",
      "args": ["-y", "@shadoprizm/cyberlens-mcp-server"]
    }
  }
}

npm ではなくソースチェックアウトから実行する場合:

{
  "mcpServers": {
    "cyberlens": {
      "command": "node",
      "args": ["/absolute/path/to/cyberlens-mcp-server/dist/index.js"]
    }
  }
}

Claude Code -- MCP 設定またはプロジェクト設定に追加します。

VS Code（Copilot/Continue） -- 拡張機能の MCP サーバー設定に従って構成します。

3. アカウントを接続

ウェブサイトツールは、アカウントなしでもローカルのクイックモードですぐに使用できます。このローカルモードは約 15 のコアチェックをカバーし、結果をすぐに返します。

アカウントを接続すると、ウェブサイトスキャンが 70 以上のチェック、スキャン履歴、AI 分析を備えた CyberLens クラウドのフルパスにアップグレードされます。リポジトリおよびアカウント専用ツールは、必要に応じてブラウザフロー経由で接続します。

リポジトリまたはアカウント専用ツールがアカウントを必要とする場合、MCP サーバーは:

1. CyberLens ブラウザフローを自動的に開きます

2. ユーザーを cyberlensai.com に送り、サインアップまたはログインさせます

3. セキュアなコールバックをローカルで受け取ります

4. API キーを ~/.cyberlens/mcp/config.json に保存します

5. 元のツール呼び出しを自動的に続行します

同じフローを明示的にトリガーすることもできます:

You: "Connect my CyberLens account"

これによりブラウザが cyberlensai.com で開き、サインアップ（無料）またはログインできます。API キーは ~/.cyberlens/mcp/config.json にローカル保存され、今後のすべてのスキャンで使用されます。

無料アカウントには月 5 回のスキャンが含まれます。クレジットカードは不要です。

ブラウザフローの代わりに、MCP 設定で CYBERLENS_API_KEY 環境変数を設定することもできます。

クラウドのウェブサイトスキャンが月間クォータに達した場合、MCP サーバーは CyberLens の価格ページを自動的に開き、ハードフェイルする代わりにローカルのクイックスキャンにフォールバックします。リポジトリのスキャンには引き続きクラウドクォータが必要です。

利用可能なツール

アカウント

CLAW スキルスキャン

ウェブサイト＆リポジトリスキャン

インテリジェンス＆ガイダンス

スキルスキャンの仕組み

CLAW スキルの URL を指定すると、MCP サーバーは:

1. URL を解決 -- Claw Hub ページ（https://clawhub.ai/skills/skill-name）、直接ダウンロードリンク（https://*.convex.site/api/v1/download?slug=name）、またはスキル zip を指す任意の URL を受け付けます

2. スキルパッケージを一時ディレクトリにダウンロード

3. パッケージ内のすべてのファイルを展開して分析:

   • _meta.json と SKILL.md の完全性をチェック

   • すべてのソースコード（Python、JavaScript、TypeScript、シェルスクリプト、設定ファイル）を危険なパターンについてスキャン

   • ハードコードされたシークレット、eval() の使用、シェルコマンド実行、安全でない HTTP リクエスト、ファイル削除操作、pickle の逆シリアル化などを検出

   • ピン留めされていない依存関係を特定

   • スキルが通信するすべての外部 URL をカタログ化

4. セキュリティスコア（0〜100）を詳細な結果、ファイルの場所、修正推奨事項とともに返す

5. すべての一時ファイルをクリーンアップ

このプロセス全体はローカルで実行されます -- API キーは不要で、コードが外部サーバーに送信されることはありません。

ウェブサイトスキャンモード

scan_website と get_security_score には現在、2 つの正直なモードがあります:

• ローカルクイックスキャン -- アカウントなしで動作し、即座に結果を返し、HTTPS、セキュリティヘッダー、サーバー情報開示、安全でないフォーム、インラインスクリプトの兆候など、約 15 のコアウェブサイトチェックをカバーします

• フルクラウドスキャン -- 接続された CyberLens アカウントが必要で、70 以上のチェックを実行し、クラウドスキャン履歴を保持し、よりリッチな分析を含みます

ユーザーがアカウントなしで full または database のウェブサイトスキャンを要求した場合、MCP サーバーは引き続きローカルクイックスキャンを返し、要求されたクラウド専用モードが利用できなかったことを伝えます。

接続済みユーザーがウェブサイトのクラウドクォータを使い切った場合、CyberLens は自動的にローカルクイックスキャンにフォールバックし、アップグレードリンク付きの価格ページを開きます。

受け入れ可能な URL 形式

https://clawhub.ai/skills/ontology            --> Resolves automatically
https://clawhub.ai/author/skill-name          --> Resolves automatically
https://*.convex.site/api/v1/download?slug=x  --> Direct download

アーキテクチャ

src/
  index.ts          MCP server, tool handlers, output formatting
  auth.ts           Browser-based connect flow, config file management
  client.ts         REST API client for live scan and quota endpoints
  remediation-guides.ts  Local CWE and vulnerability remediation guidance
  schemas.ts        Zod input validation schemas
  skill-scanner.ts  Local CLAW skill analyser (download, extract, scan)
  skill-validation.ts    Local CLAW manifest validation
  transparency.ts        Local transparency report for scan coverage

主要な設計上の決定:

• Supabase SDK なし -- fetch と X-API-Key ヘッダーによる純粋な REST 呼び出し

• 正直なクラウドサーフェス -- MCP サーバーは、ライブの公開 API（/scan、/scan/{id}、/quota）でサポートされているクラウドバックアップツールのみを公開

• Stdio トランスポート -- AI アシスタントのサブプロセスとして実行され、stdin/stdout を介して通信

• API キーなしでも有用 -- スキルスキャン、ウェブサイトクイックスキャン、マニフェスト検証、修復ガイダンス、透明性レポートはローカルで動作。アカウントを接続するとウェブサイトスキャンがフルクラウドパスにアップグレードされ、リポジトリのスキャンが可能になります

• ブラウザベースの認証 -- CyberLens OpenClaw スキルと同じセキュアな接続フロー（CSRF 保護、短命の交換コード、HTTPS のみ）

開発

# Build
npm run build

# Watch mode
npm run dev

# Run directly (for testing)
echo '{"jsonrpc":"2.0","id":1,"method":"initialize","params":{"protocolVersion":"2024-11-05","capabilities":{},"clientInfo":{"name":"test","version":"1.0.0"}}}' | node dist/index.js

環境変数

公開

このリポジトリは npm + MCP Registry への公開用に準備されています:

• npm パッケージ: @shadoprizm/cyberlens-mcp-server

• MCP サーバー名: io.github.shadoprizm/cyberlens-mcp-server

一般的なリリースフロー:

# 1. Bump the version
npm version patch

# 2. Publish the package to npm
npm publish

# 3. Authenticate with the MCP Registry
mcp-publisher login github

# 4. Publish server.json to the MCP Registry
mcp-publisher publish

レジストリメタデータはルートの server.json ファイルにあり、npm の所有権チェックは package.json の mcpName フィールドを使用します。

関連プロジェクト

• CyberLens OpenClaw スキル -- 同じスキャン機能を備えた OpenClaw スキル版

• CyberLens -- ブラウザベースのスキャン、ダッシュボード、レポートを備えたフルプラットフォーム

• OpenClaw -- AI エージェント向けのオープンスキルエコシステム

ライセンス

MIT