crowbar

重要

crowbarは、kushvinth/crowbar、 crowbar.kushvinth.com、または crowbar-cliパッケージから入手してください。似た リポジトリ名やREADMEのコピーがあっても、公式ダウンロードとは限りません。

---

コードベース内にCVEインデックスがなければ、人は推測するしかありません。crowbarはそのインデックスです。NVD、CISA KEV、EPSS、SSVC、CVE List、Exploit-DB、Nuclei、Metasploit、OSV、Debian、MSRC、Appleのアドバイザリから情報を取得し、ターミナル、CI、エージェントから検索できるローカルのSQLite + FTS5データベースに書き込みます。オフラインで再現性があり、同じクエリには常に同じ回答が返ります。APIもレート制限もないため、推測の代わりに数ミリ秒で調べられます。

ウェブUIもデーモンも、サードパーティのPythonパッケージも必要ありません。製品とバージョンを指定するだけで、実際に悪用可能なものを判定し、実世界のリスクに基づいて優先順位を付け、概念実証へのリンクを提示します。

crowbarは、公開されているエクスプロイトやPoCのデータをデータとしてインデックス化します。クローン、コンパイル、実行は一切しません。検出されたものはすべて悪意のあるコードとして扱い、使い捨てのVM内でのみ実行してください。自分が所有するシステム、またはテストの許可を得ているシステムに対してのみ使用してください。DISCLAIMER.mdを参照してください。

クイックスタート

エージェントをセットアップする

Node.jsとuvをインストールした状態で、次を実行します。

npx crowbar-cli setup

セットアップでは、マシン上のClaude Code、Codex、Cursor、Gemini CLI、opencodeを検出し、変更する設定を正確に表示して、承認後にのみ適用します。crowbarのMCPサーバーを登録し、スキルをインストールし、編集する設定ファイルをすべてバックアップして、ローカルインデックスの構築を提案します。完了後、エージェントを再起動してください。--agents claude,cursorで対象のエージェントを明示的に選択でき、--yesを指定すると確認プロンプトを省略できます。npx crowbar-cli setup --removeを実行すると、同じ手順で元に戻せます。削除対象を一覧表示して事前に確認を求め、ほかのサーバーやインデックスには手を加えません。

または Claude Code プラグインをインストール

一度のインストールで、スキルと MCP サーバーの両方が追加されます。

claude plugin marketplace add kushvinth/crowbar
claude plugin install crowbar@crowbar

エージェントは次のことができるようになります。

• スキル - 「X に脆弱性はあるか／これに影響する CVE は何か／…の既知のエクスプロイトはあるか」といった質問に対し、記憶を頼りに推測するのではなく、crowbar を使います。
• MCP ツール - cb_cve、cb_product、cb_search、cb_exploit、…を使い、ローカルインデックスからオフラインで回答します。

セットアップはこれだけです。 セキュリティに関する質問を初めてすると、crowbar スキルが自動的にセットアップします。ツールをインストールし、~/.crowbar に小規模なローカルインデックスを構築してから回答します（約 150 MB。NVD のダウンロードに時間がかかるため、数分かかります）。CLI コマンドを実行する必要はなく、インデックスは使用中に 1 日 1 回、自動で更新されます。

その他のエージェント（Cursor、Codex、Gemini、opencode）

同じ MCP サーバーを 1 行で設定できます。大がかりなインストールは不要で、uvx が必要に応じて実行します。

{ "command": "uvx", "args": ["--from", "crowbar-cli", "crowbar-mcp"] }

claude mcp add crowbar -- uvx --from crowbar-cli crowbar-mcp   # or, manually, in Claude Code

このリポジトリには .claude-plugin/、.codex-plugin/、gemini-extension.json と、ホストに依存しない skills/crowbar/SKILL.md が含まれているため、ほとんどのホストで自動検出されます。

シンプルな CLI を使いたい場合

エージェントができることは、すべてターミナルから実行できます。Python 3.11 以降が必要で、依存関係はゼロです。

uvx crowbar-cli                 # run without installing
uv tool install crowbar-cli     # or pipx install crowbar-cli / pip install crowbar-cli
nix run github:kushvinth/crowbar
git clone https://github.com/kushvinth/crowbar && cd crowbar && ./bin/crowbar --help

インデックスを構築する

crowbar sync --tier lite    # pick lite | medium | heavy | extreme
crowbar build --tier lite   # build the local index
crowbar doctor              # verify it's ready

uvx を使う場合は、各コマンドの先頭に uvx を付けます。例：uvx crowbar-cli sync --tier lite。上流フィードの代わりに、事前構築済みのミラーを取得するには、CROWBAR_MIRROR を設定してください。docs/DATASETS.md を参照してください。後で更新するには crowbar update を実行します（約 10 秒）。NVD の変更、KEV、EPSS、Exploit-DB がその場で更新されます。

サイズの階層 - それぞれ上の階層をすべて含むため、ディスク容量に応じて選べます。

階層	サイズ	含まれるデータ
lite	約 150 MB	KEV、EPSS、最近の CVE、CWE 名
medium	約 500 MB	+ NVD の全履歴、CAPEC、SSVC、ATT&CK
heavy	約 2 GB	+ Exploit-DB、Nuclei、Metasploit、OSV、PoC
extreme	全データ	+ MSRC、Apple、Debian - すべてのソース

最新のデータを高速に

• 常に最新の状態を保ちます。 CLI の各呼び出しと MCP セッションで、インデックスの経過時間を確認します。インデックスが 1 日経過すると、crowbar はバックグラウンドで更新します。NVD の変更、KEV、すべての CVE の EPSS、新しい PoC、CVE に関する新しい議論が対象です。NVD の変更履歴ウィンドウである 8 日を過ぎたインデックスは再同期して再構築するため、更新漏れは発生しません。更新に失敗した場合（オフラインの場合や、上流が停止していた場合）、インデックスを最新として記録することはありません。crowbar doctor、cb_stats、MCP の回答自体から、データの経過時間と最後の更新に失敗した理由を確認できます。
• 注目を集めている情報がわかります。 crowbar trending は、Hacker News、oss-security、Full Disclosure、ZDI、Mastodon、ENISA の悪用済み脆弱性リスト（CISA KEV に相当する EU のリスト）で取り上げられた回数を基に、CVE をランク付けします。crowbar new では、指定した日付以降に追加された KEV／EUVD、新しい CVE、新しい PoC を確認できます。crowbar cve では、それぞれの CVE がどこで話題になったかを一覧表示します。
• 速度を測定できます。 crowbar bench は、エージェントが最もよく実行するクエリを、あなたの インデックス上で計測します。インデックス付きの列をローカルの SQLite で検索するため、ネットワーク、API キー、レート制限は必要ありません。

crowbar の仕組み

エージェントは MCP 経由で、対象について crowbar に問い合わせます。crowbar はネットワークではなくローカルインデックスから回答し、KEV／SSVC／EPSS／CVSS の評価、影響を受けるバージョン範囲、利用可能な PoC へのリンクを提供します。エージェントは、根拠に基づいた結果を使ってリスクを説明し、修正する内容を決めるか、許可の範囲内でエクスプロイトを作成してテストします。CLI コマンドも同じ読み取りレイヤーを使用します。

回答できること

質問	crowbar が返す内容	コマンド
この CVE は何を意味し、深刻ですか？	CVSS、EPSS、KEV、SSVC、CWE、CPE の範囲、参照情報、PoC	crowbar cve CVE-2021-44228
製品 X のバージョン Y を使っています。悪用可能なものはありますか？	CPE の範囲が Y に該当する CVE のみ。一致した範囲も表示します	crowbar product nginx --version 1.18.0
実際の攻撃で悪用されていますか？	CISA KEV と SSVC の active／poc／none	crowbar kev, crowbar cve <id>
今週、話題になっているのは何ですか？	言及している場所の数で順位付けした CVE	crowbar trending
月曜日から何が変わりましたか？	KEV／EUVD で悪用対象に追加されたもの、新しい CVE、新しい PoC	crowbar new --since 2026-10-19
動作するエクスプロイトや検出方法はどこにありますか？	Exploit-DB、Nuclei テンプレート、Metasploit モジュール	crowbar exploit log4j · crowbar nuclei <q> · crowbar msf <q>
この CVE の公開 PoC リポジトリはありますか？	GitHub の PoC メタデータ（スター数、言語）。クローンはしません	crowbar poc --cve <id>
この npm／PyPI／Go パッケージは影響を受けますか？	導入／修正バージョン範囲を含む OSV／GHSA アドバイザリ	crowbar advisory --package lodash --ecosystem npm
Windows／iOS／macOS のアドバイザリはありますか？	MSRC と Apple のアドバイザリ、正規化された影響（RCE／EoP／…）	crowbar os --platform windows --impact RCE
タイトルだけでなく、エクスプロイトの コード を探せますか？	46k 件の Exploit-DB ソース内を全文検索	crowbar code "jndi lookup ldap"
Living off the land バイナリはありますか？	GTFOBins／LOLBAS／PayloadsAllTheThings	crowbar bin certutil
手法、脆弱性の種類、モデルについて調べられますか？	ATT&CK／CWE／CAPEC／LLM カタログ	crowbar attack T1059 · crowbar cwe 79
その他、自由に調べられますか？	インデックス全体に対する読み取り専用 SQL	crowbar sql "select id,epss from cve where kev=1"

脅威の優先順位は KEV／SSVC active > EPSS > CVSS の順に付けてください。CVSS だけで判断することはありません。読み取りコマンドの多くは --json を受け付けます。コマンドの全リファレンス と、巡回方法のマニュアルである AGENTS.md をご覧ください。

使用例

1 つのコマンドで Log4Shell をトリアージ。 crowbar cve CVE-2021-44228 は CRIT 10.0 · KEV · EPSS 1.00 · ssvc=active、影響を受ける CPE の範囲 44 件、Exploit-DB 50592 （RCE）、Nuclei テンプレート 44 件、Metasploit モジュール 4 件を返します。判定に必要な情報をすべて、オフラインで約 80 ms で取得できます。

「悪用可能なもののうち、何を使っていますか？」 crowbar product nginx --version 1.18.0 は、すべての NVD CPE 範囲を 1.18.0 と照合し、CVE-2021-23017 HIGH 7.7 · matched f5:nginx >=0.6.18 <1.20.1 のように、実際に該当するものだけを返します。「nginx」に言及しているだけの CVE をすべて返すわけではありません。

現在悪用されている脆弱性を調査。 crowbar search "remote code execution" --kev --epss 0.5 --sort epss は、CVE-2021-26855（Exchange）、CVE-2020-0796 （SMBGhost）などを、各件の exp×N nuc×N poc×N 件数とともに表示し、実際に悪用される可能性の高さで順位付けします。

crowbar を使って興味深いものを見つけましたか？対象、質問、見つけた内容を添えて issue または PR を作成してください。

FAQ

crowbarを使用できるエージェントはどれですか？

あらゆるMCPホストで使用できます。Claude Code、Codex、Cursor、Gemini CLI、opencode、Claude Desktopに対応しています。起動コマンドはuvx --from crowbar-cli crowbar-mcpです。このリポジトリには、一般的なホスト向けのマニフェストが用意されています。すべての機能はターミナルからも使用できます。

外部に通信したり、APIキーが必要になったりしますか？

いいえ。ビルド時に各データセットをトークンなしで通常のHTTP経由で取得し、その後はcrowbarを完全にオフラインで使用できます。MCPサーバーはネットワーク呼び出しを一切行わず、インデックスは読み取り専用で開きます。

実際のサイズはどのくらいですか？

選択によって異なります。liteインデックスは約150 MBで、ミリ秒単位で応答します。extremeはコーパス全体で、約3.3 GBの生データに対してインデックスは約1.5 GBです。crowbar doctorでビルドした内容を確認でき、crowbar statsが常に正確な情報を示します。

crowbarはエクスプロイトを実行しますか？

いいえ。エクスプロイトとPoCのデータをデータとしてインデックス化します。crowbar exploit <id>は確認用のソースをダウンロードします。実行するかどうかは、使い捨てのVM上で、許可を得たうえで、ご自身で判断してください。

vulnx／cve-mcp／CIRCLとはどう違いますか？

これらはライブAPIに問い合わせます（ネットワーク接続が必要で、レート制限があり、回答が変化します）。crowbarはローカルインデックスなので、オフラインで再現性があり、APIラッパーでは検索できないExploit-DBのソースコードを全文検索できます。

ドキュメント

• crowbar.kushvinth.com - クイックスタート、コマンド、エージェントのセットアップ。
• AGENTS.md - エージェント向けの探索マニュアル（スキーマ、レシピ、ガードレール）。
• docs/DATASETS.md - ソースごとの構成、ライセンス、注意事項。
• docs/MAP.md - リポジトリのツリー、データフロー、テーブル一覧。
• CONTRIBUTING.md · SECURITY.md · リリース

スター履歴

免責事項

crowbarは、合法的なセキュリティ研究、防御、および所有するシステムやテストの許可を得たシステムの分析を目的としています。DISCLAIMER.mdをご覧ください。KEV／SSVCは他所で確認された悪用状況を示し、EPSSはモデルによる推定値です。また、レコードが存在しないことは「影響を受けない」ことの証明にはなりません。行動する前に確認してください。

コントリビューション

crowbarへのご協力をお待ちしています！バグ、誤ったCVEレコード、データセットの不足を報告するには、issueを作成してください。コードやドキュメントの改善には、プルリクエストを送信してください。

開発サイクル、データセット追加のチェックリスト、テストスイートについてはCONTRIBUTING.mdをご覧ください。crowbarは標準ライブラリのみを使用します。この方針を維持してください。

ライセンス

MIT

crowbarが作成したコードはMITライセンスで提供されています。インデックス化する上流データには、それぞれ独自のライセンスと利用規約が適用されます。データソースの一覧については、第三者に関する通知およびdocs/DATASETS.mdをご覧ください。

インデックス化されたエクスプロイトとPoCのデータは参考資料であり、許可を意味するものではありません。 crowbarがデータを実行することはなく、返された情報もシステムのテストを許可するものではありません。所有するシステム、またはテストの許可を得たシステムに対してのみ使用してください。DISCLAIMER.mdをご覧ください。