Truss Threat Intelligence

truss-agent-mcp

Model Context Protocol とターミナルアシスタントを通じた Truss の脅威インテリジェンス — 1 つのバイナリ：truss-mcp。

Smithery の Truss MCP

2 つの接続方式

接続方式	用途	認証
リモート（推奨）	Cursor、Claude Desktop、MCP レジストリ	OAuth → https://api.truss-security.com/mcp
ローカル stdio（レガシー）	エアギャップ環境／BYO キー／FilterQL REPL ツール	TRUSS_API_KEY → REST

ホスト型 MCP（OAuth、Growth+ の利用条件、5 つのツール）は Truss API が提供します。このパッケージには、設定、validate-remote／doctor --remote、CLI 検索、オプションのローカル stdio が含まれます。Community アカウントでは、ホスト型 MCP への同意ができません。

npm ではまだ公開されていません。 このリポジトリからインストールしてください（npm install -g .）。公開後は、npm install -g @truss-security/truss-agent-mcp を実行してください。

クイックスタート

cd truss-agent-mcp
npm install && npm run build
npm install -g .
truss-mcp doctor --remote --strict-oauth   # OAuth path hosts use
truss-mcp init                            # for CLI search / legacy stdio
truss-mcp search

Node.js 18 以降が必要です。バイナリ名 truss-mcp は、@truss-security/truss-sdk の truss コマンドとの競合を避けます。

実行できるコマンド

コマンド	説明
truss-mcp search	ライブ MCP ツールを使うガイド付き REPL（ローカル stdio またはリモート OAuth トークン）
truss-mcp mcp	ローカル stdio MCP サーバー（レガシー／エアギャップ環境）
truss-mcp init	対話形式で .env を設定
truss-mcp doctor	キーと API アクセスを検証。--remote はホスト型 OAuth の診断を実行
truss-mcp validate-remote <url>	OAuth と MCP の診断（検出、DCR、PKCE、ツール）
truss-mcp help	使用方法の概要

ガイド付き検索ワークフロー

MCP ツールに常時接続された 1 つの REPL を使います。アシスタントが意図を分類し、Truss API にクエリを送る前に確認を求めます。

1. ナレッジ — Truss プラットフォーム、サイバーセキュリティの背景、脅威の概要
2. フィルターの作成 — FilterQL の下書き、検証、確認
3. クエリ — run で確認済みのフィルターを実行（デフォルトは 7 日間）
4. 形式 — STIX エクスポートには stix を使用。スレッド内では JSON の要約を表示
5. 検知ルール — 検索結果から detect splunk、detect falcon、detect cortex を実行

アシスタントは次の手順を明示的に提示します。フィルターの作成、調整、Truss API へのクエリ、JSON／STIX のエクスポート、SIEM／EDR のハンティングクエリの生成を選べます。

• 検索期間を広げる（run 30、days 30）と、API の割り当てをより多く消費する場合があります
• コンテキストのみの追加指示（IOC の重複排除、形式の変更）では、再クエリせずスレッド履歴を使用します

REPL の完全なリファレンス：guides/truss-cli.md

ターミナル表示（REPL）

truss-mcp search は、色分けされた ASCII 枠線付きの出力を使います。

• あなた — 入力したメッセージ
• MCP — ライブツールの実行状況（リモートでは → search_threats、stdio では → search_products）
• 結果 — アシスタントの要約の前に表示される構造化された製品テーブル
• Truss — アシスタントの返信（シアン）、ガイド付きの提案（イエロー）、FilterQL ブロック（マゼンタ）

操作：color／color on／color off／color auto · 環境変数 TRUSS_MCP_COLOR · 標準設定 NO_COLOR=1

MCP ホスト（Cursor／Claude）— リモート OAuth（推奨）

ホストの設定に API キーは不要です。Growth+ の Truss アカウントと、ブラウザーでの OAuth 同意が必要です。

{
  "mcpServers": {
    "truss-mcp": {
      "url": "https://api.truss-security.com/mcp"
    }
  }
}

サンプル：config/cursor.mcp.json · config/claude_desktop_config.json · guides/client-setup-cursor.md。

レガシー stdio（エアギャップ環境）

{
  "mcpServers": {
    "truss-mcp": {
      "command": "truss-mcp",
      "args": ["mcp"],
      "env": { "TRUSS_API_KEY": "YOUR_KEY" }
    }
  }
}

config/cursor.mcp.stdio.json と guides/getting-started.md を参照してください。

リモート MCP OAuth の検証（レジストリ登録ゲート）

レジストリへの公開やリリースの前に、OAuth と MCP の診断ツールとして使用します。OAuth 認証後、search_threats が少なくとも 1 件の Truss 製品（id + title）を返すことを必須とします。--save-token を指定しない限り、アクセストークンはそのプロセスのメモリ内にのみ保持されます。

truss-mcp doctor --remote --strict-oauth
# or:
truss-mcp validate-remote https://api.truss-security.com/mcp --strict-oauth

トークン交換後、OAuth 互換性チェックリスト（リソース URI、リダイレクト、PKCE S256、発行者の一致、オーディエンスと MCP リソースの比較、truss_role）を表示し、実際の Truss データを使って MCP アクセスを検証します。

オプション：

truss-mcp validate-remote https://api.truss-security.com/mcp --verbose
truss-mcp validate-remote https://api.truss-security.com/mcp --strict-oauth
truss-mcp validate-remote https://api.truss-security.com/mcp --save-token /tmp/truss-mcp-token
truss-mcp validate-remote https://api.truss-security.com/mcp --token-file /tmp/truss-mcp-token
truss-mcp validate-remote https://api.truss-security.com/mcp --port 9877
truss-mcp validate-remote https://api.truss-security.com/mcp --no-open

• --verbose — HTTP ステータス、主要なヘッダー、切り詰めた本文を表示します（トークンはマスキングされます）
• --strict-oauth — OAuth チェックリストに WARN/FAIL がある場合、Truss MCP の呼び出しが成功していても終了コード 2 で終了します
• --save-token PATH — ローカルで再実行するため、アクセストークンを書き込みます（モード 0600。デバッグ後に削除してください）
• --token-file PATH — ブラウザー OAuth をスキップし、保存済みトークンを再利用して MCP アクセスと Truss データを再確認します

任意の自動 OAuth データテスト（保存済みトークンと TRUSS_RUN_MCP_OAUTH=1）については、guides/publishing.md を参照してください。

公式登録情報：server.json（com.truss-security/truss-mcp） · トラッカー：guides/registry-submission.md · 内部メタデータ：config/mcp-registry.json · アーキテクチャ：docs/05-hosted-mcp-oauth-architecture.md

設定

環境変数の読み込み順（シェル変数が優先されます）：~/.config/truss/env → ~/.truss/.env → ./.env

変数	必要な用途	備考
TRUSS_API_KEY	ローカル mcp / stdio search	Truss ダッシュボードから取得（レガシーなエアギャップ環境のみ）
TRUSS_MCP_URL	リモート search / doctor	デフォルトは https://api.truss-security.com/mcp
TRUSS_MCP_OAUTH_TOKEN_FILE	リモート search	validate-remote --save-token で取得したベアラートークン
LLM_PROVIDER	search	anthropic または openai — init で設定
LLM_MODEL	search	init で設定
ANTHROPIC_API_KEY / OPENAI_API_KEY	search	プロバイダーごとに設定

一覧：env.example

ドキュメント

ガイド — インストール、REPL、MCP クライアント、FilterQL の使用例

• はじめに
• ターミナル REPL
• FilterQL クックブック
• Cursor のセットアップ · Claude Desktop

リファレンス — API 契約、ツール、アーキテクチャ（docs/README.md — ドキュメント 01–06）

開発

npm install && npm run build
npm test
npm run truss:search    # from source without global install

コントリビューター / AI エージェント： リポジトリの操作方法と規約については、AGENTS.md を参照してください。

公開：guides/publishing.md · 変更履歴：CHANGELOG.md

関連情報

• @truss-security/truss-sdk — API クライアント
• truss-agent — スケジュールされた Webhook 配信
• Truss docs — 公開 API / SDK ドキュメント

MIT