Neuromorphic Threat Intelligence MCP Server

ニューロモーフィック脅威インテリジェンス MCP サーバー

ApifyForge で見る | Apify Store で使う

---

クイックスタート

MCP クライアント（Claude Desktop、Cursor、Windsurf）に追加します。

{
  "mcpServers": {
    "neuromorphic-threat-intelligence-mcp": {
      "url": "https://ryanclinton--neuromorphic-threat-intelligence-mcp.apify.actor/mcp"
    }
  }
}

---

AI エージェント向けのニューロモーフィック脅威インテリジェンスです。この MCP サーバーは、8 種類の脳に着想を得た数学的フレームワークをサイバー脅威の検出に適用し、脆弱性データベース、インターネットスキャン基盤、制裁リスト、ソーシャルシグナル、コードリポジトリにまたがる15 のソースからライブデータを取得します。Claude、Cursor などの AI アシスタントや、あらゆる MCP 対応クライアントが、生物の神経回路のように、スパイクダイナミクス、時間学習、トポロジー構造を通じて脅威を推論できるようにします。

各ツール呼び出しでは、複数のインテリジェンスフィードに並列リクエストを送信し、リーキー・インテグレート・アンド・ファイアのスパイキングネットワーク、STDP 可塑性学習、ハイパーグラフ攻撃文法、SIS 疫学的伝播、NEAT ニューロエボリューション、離散モース理論、進化的個体群ゲーム、ル・カム統計的欠損のいずれかの厳密なアルゴリズムを実行します。その結果、解釈可能な結論を含む構造化 JSON と、明確な脅威評価を返します。単一の API をラップしたものではありません。定量的な出力と明確な脅威評価を提供する、複数ソースの推論エンジンです。

どのようなデータにアクセスできますか？

データ項目	ソース	カバー範囲の例
📋 CVE 脆弱性レコード	NVD CVE Search	CVSS スコア付きの 200,000 件以上の CVE
🔥 既知の悪用された脆弱性	CISA KEV Catalog	実環境で現在悪用されている脆弱性
🖥 インターネットホストのスキャンデータ	Censys Search	オープンポート、サービス、バナー
🌐 DNS レコード	DNS Lookup	A、MX、TXT、NS、CNAME レコード
🔒 SSL/TLS 証明書の履歴	crt.sh CT Logs	証明書の透明性ログ
📝 ドメイン登録データ	WHOIS Lookup	登録者、日付、ネームサーバー
📍 IP ジオロケーションと ASN	IP Geolocation	国、組織、ASN、座標
🛠 ウェブサイトの技術スタック	Tech Stack Detector	CMS、フレームワーク、CDN、ライブラリ
💻 セキュリティ関連のコードと PoC	GitHub Repo Search	公開リポジトリ
💬 セキュリティコミュニティのディスカッション	Hacker News Search	HN のスレッドとコメント
🚫 米国財務省の制裁情報	OFAC Sanctions Search	SDN リスト、制裁対象者
🌍 世界各地の監視リスト	OpenSanctions Search	100 以上のプログラム、40 か国以上
📡 ソーシャル上の脅威シグナル	Bluesky Social Search	セキュリティコミュニティのリアルタイム投稿
🕰 ウェブの過去のスナップショット	Wayback Machine	Archive.org のスナップショット
🔄 ウェブサイトのコンテンツ変更	Website Change Monitor	追跡対象ページの変更

Neuromorphic Threat Intelligence MCP Server を使う理由

手動での脅威相関分析は、あらゆるセキュリティワークフローにおけるボトルネックです。脅威アナリストが、単一のドメインについて CVE を確認し、CISA KEV と照合し、Censys に問い合わせ、DNS 履歴を確認し、制裁リストをスキャンし、ソーシャルチャンネルを監視すると、状況をまとめるまでに 4〜6 時間かかることがあります。その結果が完成する頃には、すでに数時間前の情報になっています。統計的な検出手法は後付けで組み込まれることが多く、定量的な信頼度を示さずに、二値の赤／緑の結果を出力します。

この MCP サーバーは、相関分析と解析のパイプライン全体を自動化します。最大 7 つのソースに並行して問い合わせ、異なる形式（CVSS の浮動小数点数、「Critical／High／Medium」の文字列、生のスコア）の重大度スコアを正規化し、構造化された脅威インジケーターを組み立てて、選択したアルゴリズムに渡します。結果には、数値出力全体に加えて、平易な言葉での解釈も含まれます。

• スケジュール設定 — 毎日または毎週、定期的な脅威スイープを実行し、攻撃対象領域の変化を追跡します
• API アクセス — ツールチェーンを離れることなく、Python、JavaScript、または任意の HTTP クライアントから解析を実行します
• プロキシのローテーション — 必要に応じて、上流のアクターは Apify の組み込みプロキシインフラストラクチャを使用します
• 監視 — MCP ツールの呼び出しが失敗したときや、予期しない結果を返したときに、Slack またはメールでアラートを受け取ります
• インテグレーション — 出力を Zapier、Make、webhook に接続したり、結果を SIEM パイプラインに直接送信したりできます

機能

• リーキー積分発火（LIF）スパイキングネットワーク — 脅威ソースの種類ごとにニューロンを1つ配置します。膜のダイナミクスは、減衰定数10～20 msのLIF方程式、不応期2～5 ms、シナプス遅延1～5ステップによって制御されます
• 切り替え面におけるフィリッポフ微分包含 — 膜電位がしきい値の0.05以内にある場合、システムはしきい値未満としきい値超過のダイナミクスを凸結合して、スライディングモードを生成します。この切り替えイベントの数は、正常と異常の境界がどれほど積極的に探索されているかを直接示します
• トレイシー・ウィドムのランダム行列端を用いたSTDP学習 — ソース間の因果的なスパイクペアから時間的重み行列を構築します。先行スパイクが後続スパイクより先に発生する系列では増強し、逆の系列では抑制します。ランダム行列理論によるトレイシー・ウィドム端を使って、構造化されたキャンペーンシグナルとランダムノイズを区別します
• ヘブ則セル・アセンブリ検出 — 相関しきい値を超えて時間的に一貫した活動を示す脅威ソースのクラスターを特定し、連携したキャンペーンのマルチソース指紋を明らかにします
• フロイド・ワーシャル到達可能性を用いたハイパーグラフ攻撃文法 — インフラを文脈自由ハイパーグラフ文法としてモデル化します。生成規則はエクスプロイト間の遷移を表し、到達可能なすべての攻撃経路を導出して、重要資産の媒介中心性を計算します
• バラバシ・アルバートのスケールフリー接触過程 — 優先的選択ネットワーク上で脆弱性の伝播をシミュレートします。基本再生産数R0、流行しきい値、ハブの感染順序、定常状態の感染割合を計算します
• 種分化と適応度共有を用いたNEATニューロ進化 — ニューラルネットワークのトポロジーと重みを同時に進化させます。イノベーション番号によって競合する規約の問題を解決し、種分化によって構造的多様性を保護します。6特徴量の脅威指標ベクトルで学習します
• 離散モース理論CW複体 — インフラを、0セル（資産）、1セル（接続）、2セル（サービスクラスター）からなるCW複体としてモデル化します。勾配ベクトル場によるペアリングで複体を縮約します。ペアになっていない臨界セルは、トポロジー的にこれ以上縮約できない攻撃対象領域を表します。オイラー標数とベッチ数を出力します
• 集団ゲームのレプリケーター・ダイナミクス — 5つの戦略（国家支援型APT、サイバー犯罪、ハクティビズム、内部脅威、サプライチェーン）を取る2,000人の脅威アクターをシミュレートします。利得行列は、実際の制裁と脆弱性密度に基づいて調整されています。進化的安定戦略とリアプノフ指数を計算します
• ル・カムの欠損距離 — 現在の監視構成と強化後の監視構成の間の情報損失を測定します。信頼性の高い検出に必要なミニマックスリスク、ベイズリスク、検出力関数、ROC曲線、サンプル複雑度を計算します
• 並列アクターオーケストレーション — 上流のアクター呼び出しはすべて、Promise.allによって同時に実行されます。180秒のタイムアウトにより、ハングした実行がレスポンスを妨げないようにします
• 重大度の正規化 — CVSSの浮動小数点数（÷10）、重大度文字列（Critical→0.95、High→0.80、Medium→0.50、Low→0.20）、生の数値スコアを、アルゴリズムの実行前に統一された0～1の重大度スケールに変換します
• スタンバイモードでの動作 — Apifyプラットフォーム上で永続的なExpressサーバーとして動作します。/mcpエンドポイントがMCPプロトコルのリクエストを処理し、/のヘルスプローブはコンテナのレディネスチェックに対して即座に200を返します
• 平易な言葉による解釈 — すべてのツールは、完全な数値出力とともに、人が読める判定（CRITICAL / ELEVATED / NORMAL、STRUCTURED CAMPAIGN DETECTED / NO CLEAR STRUCTUREなど）を示すinterpretation文字列を返します

ニューロモルフィック脅威インテリジェンスのユースケース

セキュリティ運用とSOCトリアージ

新たな侵害指標（ドメイン、IP、CVE）を受け取ったセキュリティアナリストは、迅速にコンテキストを補完する必要があります。ブラウザーで6つのタブを開く代わりに、対象を指定して detect_spiking_anomalies を呼び出します。このツールはNVD、CISA KEV、Censys、DNS、SSL、技術スタックを並行して照会し、LIFシミュレーションを実行します。異常なニューロンの発火パターンが数秒で表面化し、ネットワーク同期指数から、複数のソースが同時に反応しているかどうかを把握できます。

脅威キャンペーンの帰属分析

イベントのまとまりを特定の脅威グループに帰属させようとするインシデント対応チームは、attribute_threat_campaign を利用できます。キーワードを指定してください（例：["Volt Typhoon", "critical infrastructure", "living off the land"]）。STDPエンジンは、CVE、KEVエントリー、OFAC制裁、OpenSanctions、GitHubリポジトリ、Hacker Newsにまたがる時間的パターンを相関分析します。重み行列のスペクトル半径がTracy-Widomのエッジを超える場合、統計的に有意な時間的構造が存在します。これは偶然ではなく、連携したキャンペーンの指紋です。

インフラストラクチャの攻撃経路分析

環境内の攻撃経路をマッピングするレッドチームやセキュリティアーキテクトは、対象ドメインに対して analyze_attack_graph を利用できます。ハイパーグラフ文法は、Censys、DNS、SSL、WHOIS、技術スタック、IP位置情報からアセットのトポロジーを構築し、関連する確率とともに実行可能なすべての攻撃経路を導き出します。媒介中心性の出力から、侵害された場合に最も多くの後続経路を開くアセットを特定できます。これは、修復計画に必要な優先順位付けの情報そのものです。

脆弱性リスクの定量化

どのCVEに最初にパッチを適用するかを判断するリスク管理担当者は、simulate_vulnerability_propagation を利用して、実際のCVE深刻度データに合わせて調整したBarabasi-Albertネットワーク上で、特定の脆弱性クラスがどのように伝播するかをモデル化できます。R0値から重要な問いへの答えが直接得られます。この脆弱性は感染拡大状態にあるのか、それとも自然に収束するのか、という問いです。ハブの感染順序から、最初に影響を受ける高次数ノード（最も多く接続されたアセット）を把握できます。

AIエージェントによるセキュリティ自動化

継続的な監視を行うLLMベースのエージェントを構築するセキュリティチームは、このMCP サーバーをツールプロバイダーとして登録できます。すると、ClaudeやMCP互換エージェントは、脅威ドメインに対して forecast_exploit_emergence を呼び出し、検出限界、ROC曲線、サンプル複雑度の推定値を取得できます。これによりエージェントは、現在の監視で十分かどうかを自律的に判断したり、予算の増額を提案したりできます。

検知エンジニアリングと能力評価

特定の脅威ドメインに対してセンサーのカバレッジが十分かどうかを評価する検知エンジニアは、forecast_exploit_emergence を実行できます。Le Camの不足度により、現在の監視と強化された監視の間の情報損失を定量化できます。検出限界が信号強度を上回る場合、このツールは確実な検出に必要な予算倍率を正確に出力します。これは、リソース要求を裏付ける数学的根拠となります。

このMCP サーバーへの接続方法

ステップ1：Apify APIトークンを取得する

apify.comで登録してください。APIトークンはconsole.apify.com/account/integrationsにあります。

ステップ2：MCPクライアントに追加する

Claude Desktop — ~/Library/Application Support/Claude/claude_desktop_config.json に追加します。

{
  "mcpServers": {
    "neuromorphic-threat-intelligence": {
      "url": "https://neuromorphic-threat-intelligence-mcp.apify.actor/mcp",
      "headers": {
        "Authorization": "Bearer YOUR_APIFY_TOKEN"
      }
    }
  }
}

Cursor — プロジェクトのルートにある .cursor/mcp.json に追加します。

{
  "mcpServers": {
    "neuromorphic-threat-intelligence": {
      "url": "https://neuromorphic-threat-intelligence-mcp.apify.actor/mcp",
      "headers": {
        "Authorization": "Bearer YOUR_APIFY_TOKEN"
      }
    }
  }
}

ステップ3：接続を確認する

AIアシスタントに「neuromorphic threat intelligence serverで利用可能なツールを一覧表示して」と尋ねてください。8つのツール名と説明がすべて返されるはずです。

ステップ4：最初の分析を実行する

次のように試してください。「デフォルトのパラメーターを使用して、apache.orgドメインの脅威を detect_spiking_anomalies で分析して。」このツールは6つのデータソースを並行して照会し、平易な言葉による解釈を添えてLIFシミュレーションの結果を返します。

MCP ツールリファレンス

ツール	アルゴリズム	データソース	最適な用途
detect_spiking_anomalies	LIF スパイキングネットワーク + フィリッポフ	NVD, CISA KEV, Censys, DNS, SSL, Tech Stack	脅威フィード全体にわたるリアルタイムの異常検知
attribute_threat_campaign	STDP + トレイシー・ウィドムエッジ	NVD, CISA KEV, OFAC, OpenSanctions, GitHub, HN	時系列の因果パターンによるキャンペーンの帰属分析
analyze_attack_graph	ハイパーグラフ文法 + フロイド・ワーシャル法	Censys, DNS, SSL, WHOIS, Tech Stack, IP Geo, NVD	攻撃経路の分析と重要なアセットの特定
simulate_vulnerability_propagation	SIS 接触過程 + Barabasi-Albert	NVD, CISA KEV, Censys, Tech Stack	流行閾値とハブ感染のモデリング
evolve_detection_network	NEAT ニューロエボリューション	NVD, CISA KEV, GitHub, Hacker News	最適な検知ネットワークアーキテクチャの進化
compute_attack_surface	離散モース理論 + CW 複体	Censys, DNS, SSL, WHOIS, Tech Stack, IP Geo	攻撃対象領域のトポロジー的な定量化
assess_threat_actor_dynamics	集団ゲームの ESS + レプリケーター	OFAC, OpenSanctions, NVD, CISA KEV, Bluesky, Wayback	脅威アクターの戦略進化予測
forecast_exploit_emergence	ル・カム欠損距離	NVD, CISA KEV, GitHub, Hacker News, Change Monitor, Bluesky	検知限界と監視の適切性

ツールのパラメーター

detect_spiking_anomalies

パラメーター	型	必須	デフォルト	説明
target	string	はい	—	分析するドメイン、IP、またはキーワード
simulation_time	number	いいえ	500	LIF シミュレーション時間（ミリ秒、100～2000）
spike_threshold	number	いいえ	1.0	ニューロンのスパイク閾値 theta（0.5～2.0）。値が小さいほど感度が高くなります
max_results	number	いいえ	20	データソースごとの最大結果数（5～50）

attribute_threat_campaign

パラメーター	型	必須	デフォルト	説明
campaign_keywords	string[]	はい	—	キャンペーンを特定する1～10個のキーワード
tau_plus	number	いいえ	20	STDP 増強の時定数（ミリ秒、5～100）
tau_minus	number	いいえ	20	STDP 抑圧の時定数（ミリ秒、5～100）
max_results	number	いいえ	15	ソースごとの最大結果数（5～30）

analyze_attack_graph

パラメーター	型	必須	デフォルト	説明
target_domain	string	はい	—	攻撃グラフを構築するドメイン
max_derivation_depth	number	いいえ	10	文法の導出深度（3～20）
max_results	number	いいえ	15	ソースごとの最大結果数（5～30）

simulate_vulnerability_propagation

パラメーター	型	必須	デフォルト	説明
target	string	はい	—	脆弱性のコンテキストとなるドメインまたはテクノロジー
network_size	number	いいえ	500	シミュレーションするネットワークのノード数（50～2000）
infection_rate	number	いいえ	0.1	接触ごとの感染確率（0.01～0.5）。CVE の深刻度に基づいて調整されます
recovery_rate	number	いいえ	0.05	各時間ステップでの回復確率（0.01～0.5）
initial_infected	number	いいえ	5	初期感染ノード数（1～50）
time_steps	number	いいえ	200	シミュレーションの時間ステップ数（50～500）

evolve_detection_network

パラメーター	型	必須	デフォルト	説明
threat_domain	string	はい	—	検知器を進化させる脅威ドメイン
population_size	number	いいえ	100	NEAT の個体群サイズ（20～200）
generations	number	いいえ	50	進化の世代数（10～100）
target_accuracy	number	いいえ	0.85	目標検知精度（0.6～0.99）
max_results	number	いいえ	15	ソースごとの最大結果数（5～30）

compute_attack_surface

パラメーター	型	必須	デフォルト	説明
target_domain	string	はい	—	モース理論による攻撃対象領域の分析対象ドメイン
max_results	number	いいえ	15	ソースごとの最大結果数（5～30）

assess_threat_actor_dynamics

パラメーター	型	必須	デフォルト	説明
threat_context	string	はい	—	コンテキスト文字列（例：「金融セクター」、「医療」）
time_steps	number	いいえ	500	レプリケーター・ダイナミクスのタイムステップ（100～2000）
mutation_rate	number	いいえ	0.01	戦略の突然変異率（0.001～0.1）
max_results	number	いいえ	15	ソースごとの最大結果数（5～30）

forecast_exploit_emergence

パラメーター	型	必須	デフォルト	説明
threat_domain	string	はい	—	検出限界の予測対象となる脅威ドメイン
monitoring_budget	number	いいえ	100	監視サンプル数／センサー数（10～10000）
baseline_variance	number	いいえ	1.0	ベースラインのノイズ分散（0.01～10）
max_results	number	いいえ	15	ソースごとの最大結果数（5～30）

設定のヒント

• ノイズの多い環境では spike_threshold を下げてください — 0.7にすると感度が上がります。よく知られたドメインで誤検知を減らすには、1.3に上げてください。
• 対称的なSTDP学習には tau_plus = tau_minus を使用してください。因果関係のある（前が先、後が後）系列をより重視するには、tau_plus > tau_minus に設定してください。
• 網羅的な攻撃経路の列挙が必要な場合に限り、max_derivation_depth を15以上に設定してください。ほとんどの評価では深さ5～8で十分で、処理も速くなります。
• forecast_exploit_emergence の monitoring_budget を増やし、実際のセンサー数に合わせることで、調整済みのル・カム欠損度推定値を得られます。
• 具体的な threat_context 文字列を使用してください。「CVE-2024-4577」や「Log4Shell remote code execution」などを指定し、曖昧な用語は避けてください — 上流のアクターは関連性に基づいて結果を順位付けします。

出力例

ターゲット coldfusion.apache.org に対する detect_spiking_anomalies の出力：

{
  "target": "coldfusion.apache.org",
  "parameters": {
    "simulation_time": 500,
    "spike_threshold": 1.0
  },
  "network": {
    "neurons": [
      { "id": "N_cve", "spikeCount": 47, "firingRate": 0.094, "meanMembrane": 0.8312 },
      { "id": "N_kev", "spikeCount": 31, "firingRate": 0.062, "meanMembrane": 0.6741 },
      { "id": "N_host", "spikeCount": 12, "firingRate": 0.024, "meanMembrane": 0.3108 },
      { "id": "N_dns", "spikeCount": 8, "firingRate": 0.016, "meanMembrane": 0.2894 },
      { "id": "N_ssl", "spikeCount": 15, "firingRate": 0.030, "meanMembrane": 0.3520 },
      { "id": "N_tech", "spikeCount": 22, "firingRate": 0.044, "meanMembrane": 0.5017 }
    ],
    "totalSpikes": 135,
    "networkActivity": 0.7842,
    "synchronyIndex": 0.6391,
    "filippovSwitchingCount": 14
  },
  "anomalies": [
    { "neuronId": "N_cve", "score": 0.9312, "type": "burst", "timestamp": 1742553600000 },
    { "neuronId": "N_kev", "score": 0.8741, "type": "synchrony", "timestamp": 1742553602441 },
    { "neuronId": "N_tech", "score": 0.7203, "type": "rate_elevation", "timestamp": 1742553605882 },
    { "neuronId": "N_ssl", "score": 0.6891, "type": "burst", "timestamp": 1742553608103 }
  ],
  "burstEvents": [
    { "time": 82, "neuronCount": 4, "severity": 0.8841 },
    { "time": 241, "neuronCount": 3, "severity": 0.7120 },
    { "time": 388, "neuronCount": 5, "severity": 0.9203 }
  ],
  "synapses": [
    { "pre": "N_cve", "post": "N_kev", "weight": 0.3841, "potentiated": true },
    { "pre": "N_kev", "post": "N_tech", "weight": 0.2917, "potentiated": true }
  ],
  "interpretation": "CRITICAL: 4 anomalous neurons detected. Network synchrony 0.6391 indicates correlated threat activity. 3 burst events observed. 14 Filippov switching events at threshold boundaries.",
  "dataSources": {
    "cve": 20,
    "kev": 14,
    "hosts": 18,
    "dns": 7,
    "ssl": 11,
    "tech": 15
  }
}

出力フィールド

すべてのツール応答には、interpretation 文字列（平易な言葉による判定）、dataSources オブジェクト（ソースごとのレコード数）、および以下に示すツール固有のフィールドが含まれます。

フィールド	ツール	型	説明
network.neurons[].spikeCount	spiking	number	シミュレーション中のニューロンごとの総スパイク数
network.synchronyIndex	spiking	number	ニューロン間のペアワイズ同期度（0～1）
network.filippovSwitchingCount	spiking	number	閾値境界の交差イベント数
anomalies[].score	spiking	number	異常スコア（0～1）
anomalies[].type	spiking	string	burst / synchrony / rate_elevation
burstEvents[].severity	spiking	number	バーストイベントの深刻度（0～1）
stdpResults.spectralRadius	attribution	number	重み行列の最大固有値
stdpResults.tracyWidomEdge	attribution	number	ランダム行列ノイズの境界
stdpResults.learningConverged	attribution	boolean	STDP の重みが安定したかどうか
hebbianAssemblies[].coherence	attribution	number	脅威クラスターの時間的一貫性（0～1）
attackGraph.compromisedAssets	attack graph	number	文法導出によって到達可能なアセット数
attackGraph.attackPaths[].probability	attack graph	number	経路をたどる確率
attackGraph.criticalNodes[].centrality	attack graph	number	媒介中心性スコア
epidemiology.basicReproductionNumber	propagation	number	R0 — 症例ごとの二次感染数
epidemiology.epidemicThreshold	propagation	boolean	R0 が臨界閾値を超えているかどうか
hubInfectionOrder[].infectedAt	propagation	number	ハブノードが感染した時間ステップ
performance.detectionAccuracy	NEAT	number	進化したネットワークの検出精度
performance.falsePositiveRate	NEAT	number	最良の進化ゲノムの FPR
bestNetwork.hiddenNodes	NEAT	number	最良のトポロジーにおける隠れノード数
morseComplex.criticalCells	attack surface	number	対になっていない（既約な）セル数
morseComplex.eulerCharacteristic	attack surface	number	位相不変量 χ
morseComplex.bettiNumbers	attack surface	number[]	ベッチ数 [β0, β1, β2]
ecosystem.strategies[].isESS	dynamics	boolean	戦略の進化的安定性
ecosystem.lyapunovExponent	dynamics	number	正の場合はカオス、負の場合は安定
ecosystem.dominantStrategy	dynamics	string	平衡状態での占有率が最も高い戦略
detectionTheory.deficiency	forecast	number	Le Cam の欠損度。0（損失なし）～1（完全な損失）
detectionTheory.detectionLimit	forecast	number	検出可能なエクスプロイトの最小深刻度
detectionTheory.sampleComplexity	forecast	number	検出力 80％に必要なサンプル数
rocCurve	forecast	array	偽陽性率と真陽性率のペア

ニューロモーフィック脅威分析の実行にはいくらかかりますか？

この MCP サーバーはイベントごとの従量課金制です。ツール呼び出し1回につき $0.04をお支払いいただきます。各呼び出しでは、上流のアクターを4～7件並列で実行するオーケストレーションを行います。プラットフォームのコンピューティング費用は、呼び出しごとの料金に含まれています。

シナリオ	ツール呼び出し回数	呼び出し単価	合計費用
単一の調査	1	$0.04	$0.04
ドメイン監査（全8ツール）	8	$0.04	$0.32
日次の脅威スキャン（対象10件）	10	$0.04	$0.40
週次の SOC ワークフロー（クエリ50件）	50	$0.04	$2.00
継続的な監視（月500回）	500	$0.04	$20.00

Apify の Free プランには月額 $5 分のクレジットが含まれており、サブスクリプションは不要で、ツールを125回呼び出せます。

コストを管理するため、実行ごとに最大支出額を設定できます。予算に達するとアクターは停止し、結果を黙って打ち切るのではなく、明確なエラーメッセージを返します。

比較対象として、商用の脅威インテリジェンスプラットフォームでは、アルゴリズムによる出力がはるかに少ないにもかかわらず、複数ソースの相関分析に月額 $300～1,500 かかります。この MCP サーバーの利用者の多くは、より豊かで定量的な分析に月額 $2～20 を費やしています。

Neuromorphic Threat Intelligence MCP Server の仕組み

フェーズ1 — 並列データ収集

各ツール呼び出しでは、必要なデータソース（ツールに応じて4～7件）を特定し、runActorsParallel 経由で Promise.all を使ってすべてのアクター呼び出しを同時に実行します。各上流呼び出しには180秒のタイムアウトと256 MBのメモリが割り当てられます。上流のアクターが失敗するか、データセットを返さない場合、クライアントは警告をログに記録して空の配列を返します。アルゴリズムは、収集できたデータを使って引き続き実行されます。

フェーズ2 — 深刻度の正規化とインジケーターの組み立て

異種ソースから得られた未加工の結果は、統一された ThreatIndicator 形式に正規化されます。深刻度は、存在するフィールドから抽出されます。cvssScore（10で除算）、深刻度を示す文字列の列挙値（critical→0.95、high→0.80、medium→0.50、low→0.20）、数値の score、またはソース種別ごとの既定値（CISA KEV の項目は定義上、実際に悪用されているため、kev→0.85）です。タイムスタンプは、優先順位に従って publishedDate、dateAdded、timestamp、date、createdAt、created フィールドから解析されます。

フェーズ 3 — アルゴリズムの実行

組み立てられた指標を、scoring.ts から選択したアルゴリズムに渡します。指標 ID のハッシュから初期化された決定論的なシード付き PRNG（mulberry32）により、同じ入力データから再現可能な結果が得られます。主な実装の詳細は以下のとおりです。

• LIF シミュレーションは、指定された simulation_time の間、dt=1.0 ms のステップで実行されます。すべてのニューロン間にシナプスを設け、初期重みは 0.1～0.4 の範囲でランダムに設定し、軸索遅延は 1～5 ステップとします。Filippov 切り替えの検出では、しきい値の周囲に 0.05 の境界許容値を使用します。
• STDP 重み行列は、500 分のウィンドウ内の時間的なスパイクペアから構築されます。Tracy-Widom のエッジは 2 * sqrt(n) として計算されます。ここで n はニューロン数で、GUE ランダム行列の最大固有値に関する標準的な結果と一致します。
• ハイパーグラフ文法では、アセットの種類をシードとして文脈自由生成規則を使用します。Floyd-Warshall アルゴリズムにより、全ペアの到達可能性を O(n³) で計算します。媒介中心性は、各ノードが最短経路に登場する回数を数えることで近似します。
• 接触過程では、Barabasi-Albert の優先的選択によってネットワークを生成し、その後、実際の NVD データに基づく平均 CVE 深刻度に合わせて感染率を調整した離散時間 SIS ダイナミクスを実行します。
• NEATでは、6 つの特徴量からなる入力ベクトル（深刻度、cve／kev／sanction の種類フラグ、指標の経過期間、メタデータの充実度）を進化させ、脅威／ノイズの二値分類結果を出力します。種分化では互換性しきい値を使用し、非連結遺伝子の重みを 1.0、重みの差の重みを 0.4 とします。
• 離散モース理論では、各セルにモース関数値を割り当て、隣接する次元のセルをペアにして離散勾配ベクトル場を計算します。ペアにならなかったセルは臨界セルとなり、攻撃対象領域に計上されます。
• 人口ゲームでは、実際のデータから取得した制裁密度と脆弱性密度のシグナルに基づいて利得行列の値を調整します。各時間ステップでオイラー法によりレプリケーター方程式を積分し、突然変異を注入します。
• Le Cam の欠損度では、2 つの実験の尤度比分布間の全変動距離を計算し、ガウス近似から検出力関数、ミニマックスリスク、サンプル複雑度を導出します。

フェーズ 4 — 解釈と構造化出力

各アルゴリズムは、生の数値フィールドと平易な言葉による interpretation 文字列の両方を生成します。この解釈では、しきい値に基づく分類（例：異常数が 3 を超える → CRITICAL、0 より大きい → ELEVATED、0 → NORMAL）を使用し、数学的な解釈を求めることなく、AI エージェントが行動に移せる明確なシグナルを提示します。

最良の結果を得るためのヒント

1. 広範なキーワードより具体的なターゲットを使用します。 detect_spiking_anomalies にターゲット "CVE-2024-4577" を指定すると、関連性の高い CVE と KEV エントリーを取得できます。"web" のような広範なキーワードでは一般的な結果が返され、深刻度を示すシグナルが薄まります。

2. 重要度の高いターゲットには、8 つのツールすべてを実行します。 各ツールは異なる側面を明らかにします。detect_spiking_anomalies は複数の情報源にまたがる相関した異常を検出し、analyze_attack_graph はインフラストラクチャをマッピングし、compute_attack_surface は削減できない露出を定量化します。これらを組み合わせることで、全体像を把握できます。

3. 早期警告には spike_threshold を下げます。 デフォルトの 1.0 は一般的な用途向けに調整されています。重要インフラを継続的に監視する場合は、0.7～0.8 に設定すると、誤検知が増える代わりに、より弱いシグナルも検出できます。

4. evolve_detection_network は特定の脅威ドメインと組み合わせます。 NEAT アルゴリズムは、クエリから取得した指標データを使って学習します。コンテキストに特化した検出器を作るには、"malware" ではなく、"ransomware healthcare" のような具体的なドメイン文字列を使用します。

5. 監視対象を拡大する前に forecast_exploit_emergence を使用します。 Le Cam deficiency の出力から、センサー数を 2 倍にすると検出性能が向上するか、またその度合いを定量的に把握できます。監視予算の申請を正当化するには、sampleComplexity フィールドを使用します。

6. synchronyIndex は anomalies の件数と合わせて解釈します。 同期指数が高い（>0.6）のに異常がゼロの場合は、情報源間に相関があるものの、それぞれのしきい値をまだ超えていない、境界的な活動が示唆されます。これは注視する価値のある先行指標です。

7. assess_threat_actor_dynamics は四半期ごとに使用します。 進化ゲームの出力には、クエリ実行時点での実際の制裁措置の状況と脆弱性データのバランスが反映されます。四半期ごとに実行すると、業界でどの脅威アクターの戦略が優勢になっているかの変化を追跡できます。

8. 自動化されたワークフローには支出上限を設定します。 ループを実行する Claude エージェントでこの MCP サーバーを使用する場合は、予期しない再帰によるコストの増大を防ぐため、実行ごとの予算上限を設定してください。

他の Apify アクターとの組み合わせ

アクター	組み合わせ方
Website Contact Scraper	攻撃グラフのノードに担当者の連絡先情報を追加します。analyze_attack_graph で把握したインフラストラクチャの露出情報と、責任ある開示のための連絡先を組み合わせます
Website Tech Stack Detector	simulate_vulnerability_propagation をテクノロジー固有の CVE を指定して実行する前に、テクノロジースタックを事前に検出して、より充実したテクノロジーインベントリーを作成します
WHOIS Domain Lookup	組織全体の脅威スキャンのため、各ドメインを detect_spiking_anomalies に渡す前に、複数ドメインの WHOIS ルックアップを実行します
Website Change Monitor	変更イベントを detect_spiking_anomalies の入力として渡します。改ざん、リダイレクトの挿入、新しいスクリプトタグは、深刻度の高い指標です
Company Deep Research	企業インテリジェンスを脅威アクターの動向分析に加えます。業界に対して assess_threat_actor_dynamics を使用し、その後、企業固有の露出情報と照合します
B2B Lead Qualifier	MSSP の営業チーム向け：営業活動を始める前に、見込み客のドメインに対して compute_attack_surface を実行して露出を定量化し、見込み客を評価します
Trustpilot Review Analyzer	ブランド攻撃とサイバー攻撃が同時に発生する業界で、一般に公開されている評判のシグナルと脅威アクターの動向を相関させます

制限事項

• パッシブデータのみ — すべてのソースは公開されています。このサーバーは、対象インフラストラクチャに対してプローブ、パケット、アクティブスキャンのリクエストを一切送信しません。カバレッジは、公開インデックスに含まれる情報に限られます。
• 上流アクターの利用可能性 — NVD、Censys、その他の上流ソースが一時的に利用できない場合や、結果が返されない場合、そのソースの指標は省略されます。アルゴリズムは収集されたデータを使って実行されるため、入力が不完全だと結果の精度が低下する可能性があります。
• LIF のしきい値パラメーターへの感度 — デフォルトのスパイクしきい値 1.0 は開始点です（例：Linux カーネル）のように、CVE 件数が本来多いドメインでは、脅威の状態に関係なく、より多くのニューロン発火が発生します。よく知られた高ボリュームの対象では、しきい値を上げて調整してください。
• STDP は因果関係を意味しません — 脅威ソース間の時間的相関はシグナルであり、協調キャンペーンの証明ではありません。Tracy-Widom エッジによって誤検知は大幅に減少しますが、完全になくすことはできません。
• Barabasi-Albert は近似です — 実際のインフラストラクチャのトポロジーは、優先的選択モデルとは異なります。接触プロセスのシミュレーションによって方向性としては正しい R0 推定値が得られますが、特定のネットワークにおける正確な感染数は得られません。
• NEAT の精度はトレーニングデータ量に依存します — 脅威指標が 10 個未満の場合、NEAT の適応度評価にばらつきが生じ、進化したネットワークが一般化できない可能性があります。有意義なニューロエボリューションには、max_results を 20 以上にしてください。
• 離散モース理論による攻撃対象領域では、接続をサンプリングします — インフラストラクチャのセル間のエッジは、ソースデータから直接推定できない場合、35% の確率でサンプリングされます。結果は実際のトポロジーの近似値です。
• 母集団ゲームの ESS は一般に coNP 完全です — この実装では、レプリケーターダイナミクスの収束を使って ESS を近似的に計算します。検出されない純粋戦略のナッシュ均衡が存在する場合があります。
• 呼び出し間で永続状態はありません — ツールを呼び出すたびに初期状態から開始します。過去の分析の記憶はありません。経時的な変化を追跡する必要がある場合は、独自の相関レイヤーを構築してください。
• 上流アクターのレート制限 — 同じ対象に対して 8 つのツールをすべて同時に実行すると、上流アクターへの呼び出しが 40 回以上発生します。高ボリュームのワークロードは時間を分散させるか、エンタープライズ向けの割り当てについて Apify にお問い合わせください。

インテグレーション

• Zapier — detect_spiking_anomalies をスケジュールに従って実行し、CRITICAL の結果を Slack チャンネルまたは PagerDuty のインシデントに送信します
• Make — Google Sheet の新しいドメインに対して analyze_attack_graph を実行し、結果を 2 つ目のシートに書き戻す複数ステップのシナリオを構築します
• Google Sheets — attribute_threat_campaign のキャンペーン帰属結果をスプレッドシートにエクスポートし、手動で確認・タグ付けします
• Apify API — HTTP POST で /mcp にアクセスし、SIEM または SOAR のワークフローから MCP サーバーのエンドポイントを直接呼び出します
• Webhooks — 実行の支出がしきい値を超えたときに Webhook を発火させ、インシデント管理ツールにアラートを転送します
• LangChain / LlamaIndex — この MCP サーバーを LangChain エージェントのツールプロバイダーとして登録し、自律的な脅威調査ワークフローを構築します

トラブルシューティング

既知の脆弱なターゲットなのに、結果が空またはごく少ない場合 — ほとんどのツールは、各ソースからデフォルトで15～20件の項目を取得し、最大件数は max_results で指定します。クエリ文字列に対してNVDから返されるCVEが少ない場合は、より具体的なCVE識別子や技術名を試してください（例："java" ではなく "Apache Log4j"）。また、Apifyトークンに十分なクレジットがあることを確認してください。上流のアクターで予算上限に達すると、空の配列が通知なしで返されます。

既知の高リスクドメインなのに、interpretation が NORMAL を示す場合 — CVEが多いドメインでは、LIFのスパイクしきい値が高すぎる可能性があります。spike_threshold を0.7に下げて再実行してください。または、特定のCVEキーワードを指定して attribute_threat_campaign を使い、問題がデータ取得にあるのか、異常検知のしきい値にあるのかを確認してください。

STDPのスペクトル半径が常にTracy-Widom境界を下回る場合 — 脅威指標がまばらな場合や、数か月にわたって時間的に分散している場合は、想定される結果です。Tracy-Widom境界はニューロン数に応じて変化します。異なる指標の種類が4未満の場合、検定の統計的検出力は低くなります。max_results を増やして、より多くの時間データ点を収集してください。

NEATの進化が target_accuracy に到達しない場合 — 精度は、ライブデータから抽出した、深刻度のラベル付きトレーニングパターンに基づいて計算されます。データが大きく偏っている（深刻度が高いもの、または低いものばかりである）場合、分類器の学習に必要な負例が不足する可能性があります。よりバランスの取れたデータを得るには、threat_domain をより具体的に指定するか、target_accuracy を0.75に下げてください。

正常なドメインでコンタクトプロセスのシミュレーションがエピデミックを示す場合 — 感染率は、クエリに一致するCVEの平均CVSSスコアによって調整されます。多くの重大なCVEに一致するクエリでは、安全なターゲットであっても、調整後の感染率がエピデミックしきい値を上回ることがあります。実際のターゲット技術とバージョンを反映した、より具体的なクエリを使用してください。

実行タイムアウトエラー — 各ツール呼び出しで、上流の各アクターに割り当てられる実行時間は180秒です。6～7個のアクターを並列実行する場合、全体の実行時間は最も遅いアクターに左右されます。タイムアウトが発生した場合は、max_results を10に減らして再試行してください。タイムアウトが続く場合は、上流サービスの性能低下が考えられます。

責任ある利用

• このMCP サーバーがアクセスするのは、脆弱性データベース、証明書の透明性ログ、DNSレコード、インターネットスキャンデータ、公開ソーシャルプラットフォームの公開データのみです。
• 評価する権限のないシステムの偵察に、このサーバーを使用しないでください。
• NVD、CISA、Censys、GitHubなど、上流データソースの利用規約を遵守してください。
• 攻撃グラフと脆弱性伝播の出力は、防御的な分析のみを目的としています。不正アクセスの計画に使用しないでください。
• ウェブスクレイピングとデータアクセスの合法性に関するガイダンスについては、Apifyのガイドを参照してください。

よくある質問

実際には、ニューロモーフィックな脅威インテリジェンスとは何ですか？ 従来の脅威インテリジェンスツールは、ルールベースの相関分析を適用します。たとえば、CVEスコアが7を超え、ホストがインターネットに公開されている場合にアラートを出します。ニューロモーフィックなアプローチでは、脅威ソースをニューロンに対応付け、スパイキングダイナミクスを使ってルールでは見逃される相関活動を検出し、生物学に着想を得た学習（STDP）を適用して、時間的な因果パターンを見つけます。出力は定量的なもので、同期指数、スペクトル半径、オイラー標数などを返し、単なる二値フラグではありません。

SIEMやRecorded Future、Mandiantのような脅威インテリジェンスプラットフォームとは何が違いますか？ Recorded FutureやMandiant Advantageなどの商用プラットフォームは、アナリストが精選したレポート、インジケーターのエンリッチメント、チケット管理システムとの連携を重視しています。このMCP サーバーは、オープンソースデータに数学的フレームワークを適用し、生の定量的な出力を返します。これはAIエージェント向けの推論レイヤーであり、ダッシュボードではありません。両者は相互補完的です。アルゴリズム分析にはこのサーバーを使い、その結果を既存のSIEMに取り込んで案件管理を行ってください。 各ツール呼び出しでは、いくつのデータソースを照会しますか？ ツールによって異なり、4～7件です。analyze_attack_graph と compute_attack_surface は6～7件のソースを照会します。simulate_vulnerability_propagation は4件を照会します。すべての呼び出しは並列で行われるため、所要時間は最も遅い単一ソースの応答時間に左右されます。

これはアクティブスキャンですか、それともパッシブな情報収集ですか？ 完全にパッシブです。サーバーは、一般公開されている脆弱性データベース、証明書の透明性ログ、DNS レコード、公開済みのインターネットスキャンデータ（Censys）、一般公開されているソーシャル／コードプラットフォームを照会します。対象インフラストラクチャにパケットを送信することはありません。

STDP キャンペーンの帰属分析はどの程度正確ですか？ 精度はデータ量と時間的な範囲によって異なります。Tracy-Widom エッジ検定は、ランダム行列理論に基づく厳密な統計検定です。スペクトル半径がエッジを超える場合、その相関構造は GUE 分布から導かれる有意水準において、ランダムである可能性が統計的に低いことを意味します。これは帰属の確率ではなく、時間的構造を示す証拠です。

この MCP サーバーをスケジュールして、自動的に脅威スキャンを実行できますか？ はい。スケジュールに従って、任意の HTTP クライアントから MCP エンドポイントをプログラムで呼び出せます。Apify の組み込みスケジューリングを使って MCP サーバーを呼び出すアクターの実行をトリガーするか、cron ジョブまたはワークフローツールから Apify API を介して統合してください。

assess_threat_actor_dynamics では、どのような脅威アクターの戦略をモデル化していますか？ 5つの戦略です。国家支援型 APT、サイバー犯罪、ハクティビズム、内部脅威、サプライチェーンです。利得行列の値は、threat_context クエリに対して返される OFAC/OpenSanctions エントリーの件数と CVE/KEV 密度に基づいて調整されます。そのため、セクターのコンテキストが異なると、同じ戦略でも重みが再調整されます。

Le Cam 欠損度の数値は、監視にとってどのような意味がありますか？ 欠損度が0に近い場合、現在の監視は、強化された監視構成（予算を2倍にした構成）とほぼ同等の情報を提供しています。欠損度が1に近い場合、検出情報のほぼすべてが失われています。sampleComplexity フィールドには、80％の統計的検出力に必要な具体的なサンプル数が示されます。予算申請にそのまま使用できる数値です。

MCP に対応したローカルの AI アシスタントで利用できますか？ はい。MCP 互換のクライアントであれば接続できます。サーバー URL と Bearer トークンを、クライアントの MCP 設定に追加してください。エンドポイントは、/mcp において標準のストリーミング可能な HTTP MCP トランスポートを使用します。

通常、ツール呼び出しにはどれくらい時間がかかりますか？ 必要な上流アクターの数と、その時点での応答時間によって異なりますが、30～120秒です。6～7件のソースを照会するツールは、4件を照会するツールよりも時間がかかります。MCP クライアントのタイムアウトは、少なくとも180秒に設定してください。

このサーバーを使って、自分が所有していないドメインを分析することは合法ですか？ このサーバーが使用するのは一般公開されているデータのみです。NVD、Censys、DNS ルックアップ、CISA KEV ウェブサイトを通じて誰でもアクセスできるデータと同じものです。ドメインに関する公開済みの脆弱性データや証明書データを分析することに、法的な制限はありません。お住まいの地域や利用目的に関する具体的な法的助言については、弁護士にご相談ください。

上流アクターから結果が返されなかった場合はどうなりますか？ クライアントは警告を記録し、そのソースについて空の配列を返します。アルゴリズムは残りの指標を使って実行されます。結果の精度は低下する場合がありますが、ツールが失敗することはありません。出力に dataSources.{source}: 0 と表示され、どのデータが欠けているかを確認できます。

改善にご協力ください

問題が発生した場合、Apify アカウントで実行の共有を有効にすると、デバッグをより迅速に進めることができます。

1. アカウント設定 > プライバシー に移動します
2. 実行をパブリック Actor クリエイターと共有する を有効にします

これにより、問題が発生した際に実行の詳細を確認できるため、より迅速に問題を修正できます。お客様のデータを閲覧できるのはアクターの開発者のみで、一般公開されることはありません。

サポート

バグを見つけた場合や機能をリクエストする場合は、このアクターのページにあるIssues タブでイシューを作成してください。カスタムソリューションやエンタープライズ統合については、Apify プラットフォームからお問い合わせください。