aris-kg

aris-kg

コーディングエージェントの回答は、利用する何か月も前の学習データに基づいています。aris-kg は、代わりにエージェントを Aris ナレッジグラフへ接続します。このグラフには 1,500 万以上の概念があり、NVD、OSV、GitHub セキュリティアドバイザリ、MITRE ATT&CK、OWASP、フレームワークのリリース情報をもとに毎日更新されます。

次の 3 つの方法で利用できます。

• MCP サーバー：Claude Code、Cursor、Codex、Windsurf など、あらゆる MCP クライアントに対応します。
• CLI：ロックファイルに固定されたすべてのバージョンについて、既知の CVE をチェックします。
• GitHub Action：脆弱な依存関係が追加された場合、プルリクエストを失敗させます。

コードはオープンソース（MIT）です。グラフは有料 API です。youraris.com/account からキーを取得する必要があり、各呼び出しの料金は Aris クレジットから差し引かれます。

呼び出し	料金
CVE、ナレッジ、コードの検索	1¢
依存関係のチェック	パッケージごとに 1¢
ウェブ検索	2¢

すべてのアカウントで、呼び出しは 1 分あたり 120 回までに制限されています。

MCP サーバー

このサーバーはエージェントに 5 つのツールを提供し、依頼されなくても使うよう指示します。依存関係を追加する前、CVE に関するあらゆる作業、ライブラリのバージョンを選ぶとき、そして認証、暗号、SQL、ファイルパスのコードを書く前に利用します。

ツール	機能
aris_check_dependencies	正確なパッケージバージョンをチェックします。CVE ID、深刻度、CVSS、影響を受けるバージョンと修正済みバージョン、および CVE が実際に悪用されているかを確認します
aris_search_cve	ID または説明から CVE と GitHub アドバイザリを検索します
aris_search_knowledge	最新のメジャーバージョンとセットアップパターン、攻撃手法、緩和策、既知の注意点を検索します
aris_search_code	公開済みパッケージのリファレンスコードを検索します
aris_web_search	グラフに含まれていない最新情報を、出典 URL とともに検索します

Claude Code

claude mcp add aris -e ARIS_API_KEY=your-key -- npx -y aris-kg mcp

Cursor、Windsurf、その他の JSON 設定クライアント

{
  "mcpServers": {
    "aris": {
      "command": "npx",
      "args": ["-y", "aris-kg", "mcp"],
      "env": { "ARIS_API_KEY": "your-key" }
    }
  }
}

Codex

~/.codex/config.toml に記述します。

[mcp_servers.aris]
command = "npx"
args = ["-y", "aris-kg", "mcp"]
env = { ARIS_API_KEY = "your-key" }

CLI

export ARIS_API_KEY=your-key

npx aris-kg audit                   # lockfiles in the current folder
npx aris-kg audit ./service --fail-on critical
npx aris-kg audit --json > report.json
npx aris-kg search cve CVE-2024-3094

audit は次のロックファイルを読み取ります。正確なバージョンのみをチェックするため、範囲指定のあるマニフェストではなく、ロックファイルを使用してください。

エコシステム	ロックファイル
npm	package-lock.json、pnpm-lock.yaml、yarn.lock
Python	poetry.lock、uv.lock、Pipfile.lock、requirements.txt（バージョンを固定した == の行）
Rust	Cargo.lock
Go	go.mod
Java と Kotlin（Maven）	gradle.lockfile
Ruby	Gemfile.lock
PHP	composer.lock
.NET	packages.lock.json
Elixir	mix.lock
Dart と Flutter	pubspec.lock
Swift	Package.resolved

aris_check_dependencies と API では、次のエコシステムを指定できます：npm、pypi、crates、go、maven、rubygems、packagist、nuget、hex、pub、swift。グラフには OSV の Hackage、CRAN、ConanCenter、Linux カーネル、GitHub Actions のアドバイザリも含まれており、aris_search_cve で検索できます。

脆弱性の深刻度が --fail-on（デフォルトは high）以上の場合、または深刻度を問わず実際に悪用されている場合は、終了コード 1 で終了します。--fail-on none を指定すると、失敗することはありません。エラーの場合は終了コード 2 で終了します。

GitHub Action

name: Dependency audit
on: [pull_request]
jobs:
  aris:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: kennysarnoski-jarvis/aris-kg@v0
        with:
          api-key: ${{ secrets.ARIS_API_KEY }}
          fail-on: high

ライブラリとして

import { ArisClient } from "aris-kg";

const aris = new ArisClient({ apiKey: process.env.ARIS_API_KEY! });
const report = await aris.checkDependencies([{ name: "lodash", version: "4.17.20", ecosystem: "npm" }]);

開発

npm install
npm test
npm run build
node dist/bin.js --help

クライアントの接続先を別のサーバーにするには、ARIS_BASE_URL を設定します。

ライセンス

MIT