MCP di Cert-IX

Preferisci un PDF?

Scarica questa guida come PDF stampabile e curato nei dettagli: DepCheck MCP — Guida per l'utente (PDF).

I server MCP consentono a un agente di coding AI di richiamare direttamente gli strumenti di sicurezza di Cert-IX, come parte del proprio ciclo di ragionamento — senza browser, senza dashboard, senza copia-incolla. Parlano il Model Context Protocol, lo standard aperto per collegare gli assistenti AI (Claude, Cursor, VS Code e qualsiasi client compatibile con MCP) a strumenti esterni.

Il primo server che offriamo pubblicamente è DepCheck: un controllore di vulnerabilità delle dipendenze che risponde, nel momento in cui un agente sta per aggiungere o aggiornare un pacchetto, alla domanda "questa versione è sicura e, in caso contrario, quale lo è?"

Server	DepCheck (vuln-mcp v0.2.0)
Endpoint pubblico	https://mcp.cert-ix.com/depcheck
Trasporto	Streamable HTTP (MCP) — funziona con qualsiasi client MCP
Autenticazione	Chiave API, inviata come Authorization: Bearer <key>
Strumenti	check_package, scan_dependencies, suggest_safe_version, get_advisory, get_cve_intel
Dati	OSV (GHSA, Go vulndb, RustSec, PyPA, npm…) + deps.dev, forniti dal mirror sovrano degli advisory di Cert-IX, arricchiti con l'intelligence di sfruttamento CISA KEV / EPSS

Perché un MCP e non un semplice scanner

Gli scanner di dipendenze tradizionali funzionano a posteriori — nella CI, a intervalli pianificati o quando un umano si ricorda di eseguirli. A quel punto il pacchetto vulnerabile è già stato committato e qualcuno deve tornare indietro per correggerlo.

DepCheck sposta il controllo al momento della decisione. Quando un agente AI sta modificando un file package.json, go.mod, Cargo.toml, requirements.txt, pyproject.toml, pom.xml o composer.json, può interrogare DepCheck prima di scrivere la versione — e scegliere una versione pulita alla prima occasione. La vulnerabilità non entra mai nell'albero delle dipendenze.

È esattamente così che Cert-IX costruisce la propria piattaforma: a ogni agente di coding che lavora nel monorepo viene chiesto di consultare DepCheck prima di aggiungere o fissare qualsiasi dipendenza. Vedi Flussi di lavoro degli agenti per il pattern.

In cosa eccelle

• Controlli puntuali — "[email protected] su npm è vulnerabile?" → gli advisory che riguardano esattamente quella versione, più l'aggiornamento minimo sicuro.
• Scansioni dell'intero manifest — passagli un lockfile o un manifest e ottieni solo i pacchetti vulnerabili, ciascuno con un target di aggiornamento.
• Scelta di una versione sicura — la release più recente di un pacchetto con zero advisory noti, così da non selezionare a mano una versione notoriamente compromessa.
• Prioritizzazione — gli advisory che sono sfruttati attivamente (presenti nella lista CISA KEV o con un'elevata probabilità EPSS) vengono segnalati e ordinati per primi, così un Medium sotto attacco attivo passa davanti a un Critical teorico.
• Dettaglio dell'advisory su richiesta — vettore CVSS completo, intervalli interessati e riferimenti per qualsiasi ID di advisory, per giudicare se un reperto conta davvero rispetto al modo in cui il tuo codice usa il pacchetto.

Cosa non è

DepCheck ha un ambito deliberatamente circoscritto ed è onesto sui propri limiti:

• Controlla le dipendenze dichiarate rispetto ai dati degli advisory pubblicati. Non esegue il tuo codice, non effettua SAST/DAST e non analizza la logica applicativa.
• Gli intervalli di versione (^, ~, >=) vengono valutati al loro limite inferiore. Per verificare ciò che è realmente installato, scansiona il lockfile (package-lock.json, Cargo.lock, …), non solo il manifest.
• Riporta ciò che i database degli advisory conoscono oggi. Un risultato di "0 vulnerabilità" significa "nulla di noto al momento di questa ricerca", non una garanzia di sicurezza.
• È un supporto alla decisione, non un gate di policy. L'enforcement (bloccare un merge, far fallire una build) spetta alla tua pipeline — DepCheck le fornisce i fatti.

Ecosistemi supportati

npm · Go · PyPI · crates.io (Rust) · Maven · RubyGems · Packagist (PHP) · NuGet · Hex (Elixir) · Pub (Dart).

Gli alias di linguaggio come python, rust e java sono accettati come nomi di ecosistema.

Passi successivi

• Guida introduttiva — collega il tuo client MCP all'endpoint ospitato in un paio di minuti.
• Riferimento degli strumenti — ogni strumento, i suoi parametri e risposte di esempio.
• Flussi di lavoro degli agenti — il pattern "controlla prima di aggiungere" che mantiene una codebase libera da dipendenze notoriamente vulnerabili.
• Sicurezza e gestione dei dati — autenticazione, limiti di frequenza, residenza dei dati e ciò che esce (e ciò che non esce) dal perimetro di Cert-IX.