Threatfox

@pipeworx/threatfox

ThreatFox（abuse.ch）MCP — コミュニティ IOC フィードです。

Pipeworx の一部です。AI エージェントを1684以上の稼働中のデータソースに接続する MCP ゲートウェイです。

ツール

• search_ioc(indicator, exact_match?)
• recent_iocs(days?)
• search_hash(hash) — 詳細は以下を参照してください。上流へのクエリを2つ実行します
• search_malware(malware, limit?)

search_hash は両方のハッシュ関連データを検索します

ThreatFox は、互いに関連のない2か所にハッシュを保存しています。abuse.ch の query: "search_hash" は、そのうち一方しか検索しません。

関連データ	意味	上流クエリ
sample_to_c2	ハッシュはマルウェアのサンプルです。行には、そのサンプルが通信する C&C サーバーが記録されています	search_hash
hash_listed_as_ioc	ハッシュ自体がインジケーターとして公開されています（threat_type: "payload"）	search_ioc

最初のデータだけを検索していたため、2026-09-16までの30日間、このツールは34件中34件が空の結果でした。エンドポイントが壊れていたわけではありません。形式が不正なハッシュに対して abuse.ch は illegl_hash（同社の誤記）を返し、形式が正しいハッシュには no_result を返していたため、リクエストは期間中ずっと解析され、受け付けられていました。問題は質問が間違っていたことです。このパック独自の recent_iocs から取得した da168c3ff95c749beec0a2f29a1e6b82 は、search_hash では何も返しませんが、search_ioc では完全な行が返されます。

このツールは現在、両方を試し、どちらで見つかったかを matched_relation で示します（どちらでも見つからなかった場合は null となり、searched_relations も返されます）。2回目の呼び出しは最初の検索で何も見つからなかった場合にのみ行うため、結果が空でなければリクエストは1回だけです。2つの結果をラベルのない1つのリストにまとめないでください。「このファイルはその C2 に接続する」と「このファイル自体がペイロードとして指定されている」は、異なるセキュリティ上の事実です。

ここでは、空の結果も有効な回答です。 ThreatFox が追跡するのは C&C インフラストラクチャであり、サンプルではありません。ほとんどのハッシュは、どちらの関連データにも含まれていません。2026-09-16時点の測定では、MalwareBazaar の最近のサンプルハッシュ40件中7件と、ThreatFox 自身のハッシュ IOC 88件中2件が解決されました。サンプルのメタデータには、すべてのサンプルをインデックス化している malwarebazaar パックを使用してください（同じベンダー、同じキーです）。

コミット済みの例は、仕様上、古くなります。 abuse.ch は6か月を超えた IOC をすべて期限切れにします（「6か月を超えた IOC は ThreatFox API および ThreatFox Export で公開されなくなります」）。そのため、abuse.ch 自身のドキュメントにある例のハッシュ 2151c4b970eff0071948dbbc19066aa4 は、現在 no_result を返します。このハッシュは2021年の IOC id 4726 を参照しています。例が古くなったら、workers/gateway/src/tool-examples.json 内の内容を再検証してください。空文字列の MD5 である d41d8cd98f00b204e9800998ecf8427e のようなプレースホルダーをコミットしてはいけません。この値によって、すべての呼び出し元が誤った形式を学習してしまいました。

認証

• プラットフォームキー： ゲートウェイ環境変数 PLATFORM_ABUSECH_KEY（malwarebazaar と共有）。
• BYO： https://auth.abuse.ch で登録後、?_apiKey=<key> を使用します。

データソース

https://threatfox-api.abuse.ch/api/v1/ — ヘッダーは Auth-Key、JSON 本文で POST します。

クイックスタート

MCP クライアント（Claude Desktop、Cursor、Windsurf など）に追加します。

{
  "mcpServers": {
    "threatfox": {
      "url": "https://gateway.pipeworx.io/threatfox/mcp"
    }
  }
}

このエンドポイントが実際に提供するもの

https://gateway.pipeworx.io/threatfox/mcp の tools/list は、上記の表にあるツールに加えて、共有 Pipeworx メタツール（ask_pipeworx、 discover_tools、search_within、remember／recall など、ゲートウェイ全体で利用できるツール群）も返します。そのため、表示されるツール数はこの表より多くなります。現在、単一パックのエンドポイントには、パック独自のツールに加えて約 30 個の共有ツールが一覧表示されます。接続の initialize 応答には正確なスコープが記載されており、その日の状況を確認するうえで最も信頼できる情報です。

これは意図的なもので、偶然の多重化ではありません。メタツールを使うと、このパックが対応していない質問にも、カタログ全体から振り分ける ask_pipeworx を通じて回答できます。そのため、MCP サーバーをもう 1 つ追加する必要はありません。現時点では、メタツールを含めずにパックのエンドポイントをマウントする方法はありません。追加のスキーマによるコンテキスト消費がルーティングの利点を上回る場合は、複数のパックエンドポイントではなく、フルゲートウェイに一度だけ接続してください。

または、Pipeworx のフルゲートウェイに接続して、このパックだけでなく、すべてのパックのツールを直接一覧表示できます。

{
  "mcpServers": {
    "pipeworx": {
      "url": "https://gateway.pipeworx.io/mcp"
    }
  }
}

どちらの URL も、同じゲートウェイと同じ 1684+ のデータソースに接続します。違いは、どのパックのツールが直接一覧表示されるかだけです。どちらからでも、ask_pipeworx を通じてすべてのツールを利用できます。

MCP クライアントをお持ちでない場合は、HTTP 経由で呼び出せます

curl -X POST https://gateway.pipeworx.io/v1/tools/search_ioc \
  -H 'Content-Type: application/json' \
  -d '{"indicator":"105.72.55.52:8080"}'

最初の呼び出しにはアカウントは不要です。任意のツールを確認するには、GET https://gateway.pipeworx.io/v1/tools/search_ioc を使用します。ツールを探すには、{"query":"..."} を指定して POST https://gateway.pipeworx.io/v1/tools/search_packs を実行します。

スタンドアロン（ゲートウェイアカウント不要）

このパッケージは、ローカルの stdio MCP サーバーとしても実行できます。Pipeworx アカウントも、ゲートウェイへのラウンドトリップも必要ありません。

{
  "mcpServers": {
    "threatfox": {
      "command": "npx",
      "args": ["-y", "@pipeworx/mcp-threatfox"]
    }
  }
}

または、起動を確認するために直接実行します。

npx -y @pipeworx/mcp-threatfox

stdin/stdout 経由で MCP を使用し、このパックのツールのみを対象に initialize／tools/list／tools/call に応答します。上記のゲートウェイ接続で追加される共有メタツールは含まれません。同じソース、同じツールですが、ask_pipeworx によるルーティングはありません。

ask_pipeworx の使用

ツールを直接呼び出す代わりに、自然な英語で質問できます。上記のパックエンドポイントでも、フルゲートウェイでも同様に使用できます。

ask_pipeworx({ question: "your question about Threatfox data" })

ゲートウェイが適切なツールを選び、引数を自動的に入力します。

詳細

• ドキュメントとガイド
• pipeworx.io

ライセンス

MIT