Automation Auditor MCP

Automation Auditor MCP

1 つの MCP サーバーで、実際に使われている複数の自動化エクスポート形式に対応します。 Ahmad Yar が開発・保守しています。

初期段階の実装です。現在の公開状況とバージョンの詳細については、PyPI パッケージとMCP Registry のエントリーをご覧ください。本番環境で使用する前に、ホストとの互換性と実際のクライアントでの MCP の動作を確認してください。入力されたテキストに対して読み取り専用の静的チェックを実行します。リポジトリを独自に読み取ったり、自動化アカウントに接続したり、JS を実行したり、API エンドポイントに接続したりすることはありません。

対応する入力と正直な制限事項

プラットフォーム	入力	チェック項目	制限
n8n	エクスポートされたワークフロー JSON	ノード名または ID の欠落・重複、接続の破損、Webhook パスの欠落	静的な構造のみ。認証情報や実際の実行に関するチェックは行いません
Dify	エクスポートされたワークフロー DSL の YAML/JSON	ノード ID の欠落・重複、エッジの破損、開始・終了チェック	YAML DSL はリリースによって異なります。ランタイムやモデルの検証は行いません
Trigger.dev	タスク定義のソース（TypeScript/JS）	リテラルのタスク ID、重複、実行時間に関する参考情報	ヒューリスティックのみ。TypeScript と Trigger.dev のビルド／テストを実行してください
Activepieces	Flow JSON または Flow バージョンオブジェクト	トリガーの有無、ステップ名の重複、無効としてマークされたステップ	一般的な nextAction／branches のみ。フローを網羅的に検証するものではありません
OpenAPI	JSON 仕様	既存の GPT Tools 統合チェッカー	ベストエフォートであり、OpenAPI スキーマを完全に検証するものではありません
URL の事前チェック	HTTPS URL	GPT Tools を使用して、既知の安全でない URL スキーム／アドレスを検出します	DNS 検索やフェッチは行いません。"manual_review" は「安全」を意味しません

「あらゆる自動化プラットフォーム」に対応するには、そのネイティブ形式用のアダプターが必要です。 未対応のプラットフォームは、意味のないチェックに合格させるのではなく、未対応として報告されます。core.py のレジストリにアダプターを追加し、対応するテストを作成できます。Make、Zapier、Pipedream は v0.1 で対応プラットフォームとして案内していません。

インストール

Python 3.11 以降でインストールします。

pip install automation-auditor-mcp

互換性のある MCP クライアントを設定します。

{
  "mcpServers": {
    "automation-auditor": {
      "command": "uvx",
      "args": ["automation-auditor-mcp"]
    }
  }
}

uvx を使用するには uv が必要です。PyPI で現在公開されているパッケージのバージョンを確認し、本番環境で使用する前に、MCP ホストで設定をテストしてください。

ソースから開発する場合：

python -m pip install -e .
python -m unittest discover -s tests -v
automation-audit examples/n8n-valid.json --platform n8n
automation-auditor-mcp

最後のコマンドは MCP stdio サーバーを起動し、接続されたクライアントを待ち受けます。ホストまたは MCP Inspector を使って通信してください。通常のターミナルから起動しても、出力は表示されません。

MCP ツール API

• audit_workflow(platform, source)：エクスポートまたは Trigger.dev ソースファイルのテキスト全文を渡します。platform は auto、n8n、dify、trigger、trigger.dev、activepieces のいずれかです。最大 250,000 文字です。サーバーがファイルパスを使ってファイルを読み取ることはありません。
• audit_openapi(spec_json)：OpenAPI ドキュメントの JSON。既存の ahmad-yar-gpt-tools ライブラリを使用します。
• preflight_url(url)：URL のみをスクリーニングし、DNS 検索や HTTP リクエストは一切行いません。許可される構文でも、実際のフェッチにはリクエスト時の制御が必要なため、manual_review になります。
• list_supported_platforms()：正確な対応形式と既知の制限事項を返します。

検出結果には、安定したルール ID、重要度、場所、簡潔なメッセージ、推奨事項、信頼度が含まれます。意図的にノード名、生の URL、認証情報、ソースの抜粋は含めません。no_findings_detected というレポートは、安全の証明ではありません。

例：n8n の接続切れを検出する

MCP クライアントは、エクスポートしたワークフロー JSON を audit_workflow("n8n", source) に渡します。接続先のノードが削除されている場合、構造化レポートには重大度 error のルール N8N009 が含まれます。アシスタントはエラーを説明し、ユーザーに修正を依頼できます。このツールがワークフローファイルを直接編集することはありません。

テスト

python -m unittest discover -s tests -v

テスト用フィクスチャでは、架空のメタデータのみを使用します。API キーや顧客情報は含まれません。コア形式のインスペクターはネットワークを必要とせず、テスト時に MCP をインポートしません。MCP SDK との統合には、依存関係のインストールが必要です。

リリースとレジストリのメンテナンスチェックリスト

1. 公開ソースリポジトリとインストール手順を、リリース済みの成果物と同期させます。
2. すべてのテストを実行し、各リリースで実際の MCP クライアントを使って MCP Inspector の呼び出しを検証します。包括的であると説明する前に、TypeScript AST パーサーを使って Trigger.dev の分析を改善します。
3. 各リリースで、PyPI 上の公開バージョンとメタデータを確認します。ソースとホームページへのリンクも確認してください。
4. レジストリのパッケージ所有権確認のため、README のマーカー mcp-name: io.github.ahamdjin/automation-auditor-mcp を PyPI の長い説明文内に保持します。
5. 新しいバージョンをリリースする際は、公式 MCP Registry publisher を使用して server.json を検証し、PyPI の識別子、バージョン、stdio トランスポートが正確であることを確認します。
6. 各リリース後に、公式 Registry API を使ってレジストリのメタデータを確認します。レジストリがホストするのはメタデータであり、パッケージ自体ではありません。

レジストリの公式公開要件では、PyPI の所有権確認について説明しています。

セキュリティ、ライセンス、帰属表示

ソースコンテンツが意図的に保存、外部送信、実行、またはモデルの推論に使用されることはありません。MCP ホストが入力やレポートを別途ログに記録する場合があります。YAML エイリアスは拒否され、JSON/YAML の重複フィールドは拒否されます。また、入力サイズには上限があります。Trigger.dev の正規表現チェックの信頼度は低く、ソース監査で実行時の動作を保証することはできません。SSRF の防止策として URL の事前チェックを扱わないでください。

ライセンス： Apache-2.0。上流の ahmad-yar-gpt-tools も Apache-2.0 を使用しています。

ソース（リポジトリ作成後）：https://github.com/ahamdjin/automation-auditor-mcp 作成者：https://www.ahmadyar.co/