Passa al contenuto principale

🛡️ Presentiamo DepCheck — Il nostro primo server MCP

· 4 minuti di lettura
Security Team
Security Team
Cert-IX Security Engineering

Oggi rilasciamo il nostro primo server MCP pubblico: DepCheck — un verificatore di vulnerabilità delle dipendenze che si integra direttamente nel tuo agente di programmazione AI, così da poter intercettare i pacchetti con vulnerabilità note prima che entrino nel tuo codice.

Perché un MCP e non l'ennesimo scanner​

Gli scanner di dipendenze tradizionali vengono eseguiti a posteriori — nella CI, secondo una pianificazione o quando qualcuno se ne ricorda. A quel punto il pacchetto vulnerabile è già stato committato, e qualcuno deve tornare indietro per correggerlo.

DepCheck sposta la verifica al momento della decisione. I server MCP (Model Context Protocol) consentono a un agente di programmazione AI di richiamare direttamente gli strumenti di sicurezza, come parte del proprio ciclo di ragionamento — nessun browser, nessuna dashboard, nessun copia-incolla. Quando il tuo agente sta per aggiungere o aggiornare un pacchetto, chiede a DepCheck "questa versione è sicura, e in caso contrario, qual è quella giusta?" — e sceglie una versione pulita al primo tentativo. La vulnerabilità non entra mai nell'albero delle dipendenze.

DepCheck in sintesi​

ServerDepCheck (vuln-mcp v0.2.0)
Endpoint pubblicohttps://mcp.cert-ix.com/depcheck
TrasportoStreamable HTTP (MCP) — funziona con Claude, Cursor, VS Code e qualsiasi client MCP
AutenticazioneChiave API, inviata come Authorization: Bearer <key>
Strumenticheck_package, scan_dependencies, suggest_safe_version, get_advisory, get_cve_intel
DatiOSV (GHSA, Go vulndb, RustSec, PyPA, npm…) + deps.dev, forniti dal mirror sovrano degli advisory Cert-IX, arricchiti con intelligence sullo sfruttamento CISA KEV / EPSS

Punti di forza​

  • Verifiche puntuali — "[email protected] su npm è vulnerabile?" → gli advisory che riguardano esattamente quella versione, più l'aggiornamento sicuro minimo.
  • Scansioni dell'intero manifest — passagli un lockfile o un manifest e ottieni indietro solo i pacchetti vulnerabili, ciascuno con un obiettivo di aggiornamento.
  • Scelta di una versione sicura — la release più recente di un pacchetto con zero advisory noti.
  • Definizione delle priorità — gli advisory sfruttati attivamente (presenti nella lista CISA KEV, o con un'elevata probabilità EPSS) vengono segnalati e ordinati per primi, così che un problema Medium sotto attacco attivo passi davanti a un Critical solo teorico.
  • Dettaglio degli advisory su richiesta — vettore CVSS completo, intervalli interessati e riferimenti per qualsiasi ID di advisory.

Supporta npm, Go, PyPI, crates.io (Rust), Maven, RubyGems, Packagist (PHP), NuGet, Hex (Elixir) e Pub (Dart).

Onesti sui suoi limiti​

DepCheck ha un ambito volutamente definito:

  • Verifica le dipendenze dichiarate rispetto ai dati pubblicati degli advisory. Non esegue il tuo codice, non effettua SAST/DAST e non analizza la logica della tua applicazione.
  • Gli intervalli di versione (^, ~, >=) vengono valutati al loro limite inferiore — per verificare ciò che è effettivamente installato, scansiona il lockfile, non solo il manifest.
  • Un risultato "0 vulnerabilità" significa "nulla di noto al momento di questa ricerca", non una garanzia di sicurezza.
  • È un ausilio alla decisione, non un gate di policy — l'enforcement resta nella tua pipeline.

È così che costruiamo Cert-IX​

DepCheck non è un progetto secondario — è la stessa regola che ogni agente di programmazione nel monorepo Cert-IX segue già: consultare DepCheck prima di aggiungere o fissare qualsiasi dipendenza. Ora rendiamo questa capacità disponibile anche ai tuoi agenti.

Come iniziare​

DepCheck è il primo di diversi strumenti di sicurezza agent-native nella nostra roadmap. Restate sintonizzati.