turbopentest

@turbopentest/mcp-server

TurboPentest 用の MCP サーバーです。コーディングアシスタントから離れることなく、AI を活用したペネトレーションテストの開始、脆弱性の検出結果の確認、セキュリティレポートの生成ができます。

できること

AI アシスタントにペネトレーションテストの実行や進捗の確認を依頼し、修正方法の案内を受けられます。API 呼び出しはすべてサーバーが処理します。完了したスキャンはすべてブロックチェーンに記録されるため、顧客や監査担当者と共有できる改ざん防止の証明が得られます。

クイックスタート

1. API キーを取得する

turbopentest.com/settings/api-keys でサインアップし、API キーを作成します。

2. ドメインを検証する

スキャンを実行する前に、turbopentest.com/domains で対象ドメインを所有していることを検証します。

3. MCP クライアントにサーバーを追加する

Claude Code（プロジェクトのルートにある .mcp.json）：

{
  "mcpServers": {
    "turbopentest": {
      "command": "npx",
      "args": ["@turbopentest/mcp-server"],
      "env": {
        "TURBOPENTEST_API_KEY": "tp_live_..."
      }
    }
  }
}

Claude Desktop（claude_desktop_config.json）：

{
  "mcpServers": {
    "turbopentest": {
      "command": "npx",
      "args": ["@turbopentest/mcp-server"],
      "env": {
        "TURBOPENTEST_API_KEY": "tp_live_..."
      }
    }
  }
}

Cursor（設定 > MCP サーバー > 追加）：

{
  "command": "npx",
  "args": ["@turbopentest/mcp-server"],
  "env": {
    "TURBOPENTEST_API_KEY": "tp_live_..."
  }
}

OpenAI Codex CLI（~/.codex/config.toml。または codex mcp add turbopentest -- npx @turbopentest/mcp-server を実行し、プロンプトが表示されたら環境変数を設定します）：

[mcp_servers.turbopentest]
command = "npx"
args = ["@turbopentest/mcp-server"]

[mcp_servers.turbopentest.env]
TURBOPENTEST_API_KEY = "tp_live_..."

その後、Codex 内で /mcp を実行し、turbopentest が一覧に表示されることを確認します。Codex の MCP クライアントは「プロンプト」プリミティブをサポートしていないため、4 つのガイド付きワークフローは 通常のツール（turbopentest_workflow_*。下記参照）としても公開されており、 Codex が自動的に読み込むこのリポジトリの AGENTS.md に記載されています。

セッション例

You:    "Run a standard pentest on staging.example.com"
Claude: Checks domain is verified, confirms credit balance,
        calls start_pentest → "Started tp_abc123, 4 agents, ~1 hour"

You:    "Any findings yet?"
Claude: Calls get_pentest → "62% complete — 3 findings (1 high, 2 medium)"

You:    "Show me the high severity ones"
Claude: Calls get_findings(severity: "high") →
        [1] HIGH: SQL Injection in /api/search
            CVSS: 8.6 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N)
            CWE: CWE-89
            PoC: POST /api/search?q=' OR 1=1--
            Remediation: Use parameterized queries...
            Retest: sqlmap -u "https://staging.example.com/api/search" ...

You:    "Give me a prioritized remediation plan"
Claude: Uses the analyze_findings prompt → produces a full markdown
        remediation plan grouped by severity and effort

ホワイトボックススキャン

start_pentest に GitHub リポジトリの URL を渡すと、ホワイトボックスモードが有効になります。ブラックボックステストに加えて、スキャンには次の内容が含まれます。

• SAST — 一般的な脆弱性パターンを対象とした静的コード解析
• シークレット検出 — ソースコード内に漏えいした API キー、認証情報、トークンの検出
• SCA — 既知の CVE を対象とした依存関係の監査

You:  "Pentest staging.example.com, the repo is github.com/myorg/myapp"

ツール

ツール	説明
turbopentest_start_pentest	検証済みドメインに対してペネトレーションテストを開始します。4 つのティアに対応し、ホワイトボックススキャン用に GitHub リポジトリを指定できます。
turbopentest_get_pentest	スキャンのステータス、進捗、検出結果の概要、エグゼクティブサマリー、攻撃対象領域マップ、STRIDE 脅威モデルを取得します。
turbopentest_list_pentests	すべてのペネトレーションテストを、ステータスと検出件数とともに一覧表示します。ステータスで絞り込めます。
turbopentest_get_findings	重要度、CVSS、CWE、OWASP カテゴリ、PoC、修正手順、再テスト用コマンドを含む、構造化された検出結果を取得します。重要度で絞り込めます。
turbopentest_download_report	Markdown（AI に最適）、JSON、PDF 形式でレポートをダウンロードします。
turbopentest_get_credits	クレジット残高と、料金付きの利用可能なスキャンティアを確認します。
turbopentest_verify_attestation	SHA-256 ハッシュを使用して、ブロックチェーンに記録された証明を検証します。API キーは不要です。公開エンドポイントです。
turbopentest_list_domains	検証済みドメインとその検証ステータスを一覧表示します。
turbopentest_workflow_run_pentest	run_pentest ワークフローの手順をツール出力として返します（Codex など、プロンプトに対応していないクライアント向け）。
turbopentest_workflow_analyze_findings	analyze_findings ワークフローの手順をツール出力として返します。
turbopentest_workflow_compare_pentests	compare_pentests ワークフローの手順をツール出力として返します。
turbopentest_workflow_security_posture	security_posture ワークフローの手順をツール出力として返します。

セキュリティに関する注意： turbopentest_start_pentest は API を呼び出す前にドメインの検証状況をチェックします。エージェントによる事前確認だけに頼るのではなく、アカウントでドメインが検証されていない対象へのテスト開始を拒否します（isError: true）。

プロンプト

組み込みプロンプトは、AI アシスタントを複数ステップのワークフローに沿ってガイドします。プロンプトに対応した MCP クライアント（Claude Code、Claude Desktop、Cursor）で名前を指定して呼び出してください。ツールのみ対応するクライアント（Codex）では、代わりに上記の対応する turbopentest_workflow_* ツールを使用してください。テキストは同一です。

プロンプト	対応するツール	説明
run_pentest	turbopentest_workflow_run_pentest	ペネトレーションテストの全ライフサイクル：ドメイン確認 → クレジット確認 → 開始 → 進行状況の監視 → 検出結果の要約 → レポートのダウンロード
analyze_findings	turbopentest_workflow_analyze_findings	1 件のペネトレーションテストの検出結果を詳細に分析し、工数の見積もりと再テスト用コマンドを含む、優先順位付けされた修正計画を作成します
compare_pentests	turbopentest_workflow_compare_pentests	同じ対象に対する 2 件のペネトレーションテストを比較します。新たに見つかった問題、修正済みの問題、未解決の問題を示します
security_posture	turbopentest_workflow_security_posture	直近 5 件のペネトレーションテストを対象としたエグゼクティブ向け概要：リスクの傾向、最もリスクの高い対象、おすすめのアクション上位 3 件

スキャン階層

階層	エージェント数	所要時間	価格
Recon	1	約 30 分	$49
Standard	4	約 1 時間	$99
Deep	10	約 2 時間	$299
Blitz	20	約 4 時間	$699

デフォルトの階層は standard です。簡易的な表層スキャンには recon を、重要なアセットを最大限カバーするには blitz を使用してください。

ブロックチェーンによる証明

完了したすべてのペネトレーションテストは、改ざん防止の証明としてオンチェーンに記録されます。SHA-256 ハッシュがレポートに含まれ、API キーなしで、あなた自身や顧客、監査担当者が個別に検証できます。

You:  "Verify attestation abc123def456..."

turbopentest_verify_attestation は、スキャンのメタデータ（階層、エージェント数、所要時間、リスクスコア、検出結果の要約）とブロックチェーンによる証明（チェーン ID、トランザクションハッシュ、ブロック番号、Merkle ルート）を返します。

構成

変数	必須	デフォルト	説明
TURBOPENTEST_API_KEY	はい	—	turbopentest.com/settings/api-keys で取得した API キー
TURBOPENTEST_API_URL	いいえ	https://turbopentest.com/api	API のベース URL を上書きします（テスト用）

要件

• Node.js 18+
• 検証済みドメインを 1 つ以上持つ TurboPentest アカウント

OpenAI Codex での使用方法

Codex の詳しいガイドについては、docs/CODEX.md を参照してください。構成、ツール一覧、認証モデル、ガイド付きワークフローが MCP プロンプトではなく turbopentest_workflow_* ツールとして公開されている理由について説明しています。

プライバシーとサポート

• プライバシーポリシー： https://turbopentest.com/privacy
• サブプロセッサー： https://turbopentest.com/subprocessors
• サポート： https://turbopentest.com/support でケースを作成してください（通常、営業日であれば数時間以内に回答されます）。または Discord に参加してください
• この MCP サーバーのバグ： https://github.com/integsec/turbopentest-mcp/issues

API キーは HTTPS 経由のベアラートークンとして turbopentest.com/api にのみ送信されます。ログに記録されることはなく、ほかの場所に送信されることもありません。顧客のペネトレーションテストの内容が、公開 AI モデルのトレーニングに使用されることはありません。

ライセンス

MIT