weavatrix-online

Weavatrix Online

ネットワークにリポジトリを渡すことなく、ネットワーク全体でリポジトリのインテリジェンスを活用できます。

Weavatrix エコシステムにおける、明示的なネットワーク境界です。Core と Refactor は引き続き別々にインストールします。

Weavatrix Online は、Weavatrix Cloud および互換性のある顧客管理エンドポイント向けの、MIT ライセンスの MCP コネクターです。分析はローカルで行い、検査可能なソースコードを含まないペイロードを生成します。そのペイロードがマシンの外に送信される前に、正確な短時間有効の確認を必須とします。

公開 Online プロファイルでは、エンドポイントの検出、アドバイザリー、マルウェアのレビュー、アーキテクチャ契約、制御された同期のための 7 つの MCP ツールを公開します。ローカルの weavatrix-js グラフエンジンは実装の詳細です。そのツールは再エクスポートされないため、Core、Refactor、Online をすべてインストールしても、エージェントのコンテキストにツールカタログが重複して追加されることはありません。

Online をインストールまたは起動しても、何も同期されません。preview_sync はネットワークリクエストを行いません。sync_graph が受け付けるのは、同じリポジトリ、送信先、ペイロード、グラフに対する有効なプレビューのみです。

適切な Weavatrix パッケージを選ぶ

製品	インストール方法	境界
weavatrix	npm または Cargo	ネイティブのローカルファースト MCP 製品です。どちらのパッケージマネージャーでも、同じローカル Weavatrix サーバーとエンジンが配布されます。
weavatrix-rust	Cargo	ライブラリや CLI で使用する、プロトコルに依存しない Rust 製リポジトリインテリジェンスエンジンです。MCP トランスポートは担当しません。
weavatrix-refactor	npm または Cargo	トランザクション型リファクタリング専用のネイティブ拡張です。内部では Rust 製グラフエンジンを使用します。
weavatrix-online	npm	オプションのネットワーク拡張です。内部のローカルグラフランタイムを介して、Cloud／セルフホスト可能なワークフローをソースコードなしで実行します。

Online は現在、JavaScript グラフ／ランタイムパッケージを内部で使用します。

weavatrix-online 0.3.4
  └─ weavatrix-js 0.3.x (internal; no Core tools re-exported)

ネイティブの weavatrix 実行ファイルをプロキシしたり、weavatrix-refactor をインポートしたり、どちらかのエンジンをコピーしたりすることはありません。グラフを完全にローカルに保つ必要がある場合は weavatrix を使用してください。エンドポイントの状態、リモート管理されるアーキテクチャ契約、アドバイザリーの更新、またはソースコードを含まない明示的な同期がワークフローに含まれる場合は、weavatrix-online を使用してください。

インストールと実行

Cursor、Codex、Claude、Grok 用プラグイン

リポジトリには現在、plugins/weavatrix-online にポータブルなプラグインバンドルが 1 つと、4 つすべてのクライアント向けのネイティブなマーケットプレイスマニフェストが含まれています。プラグインは固定された npm リリースを起動し、Online の各メソッドに対応するカードを遅延読み込みする、コンパクトなスキルをオプションで含みます。

codex plugin marketplace add Weavatrix/weavatrix-online --sparse .agents/plugins plugins/weavatrix-online
codex plugin add weavatrix-online@weavatrix-online

claude plugin marketplace add Weavatrix/weavatrix-online --sparse .claude-plugin plugins
claude plugin install weavatrix-online@weavatrix-online

grok plugin marketplace add Weavatrix/weavatrix-online

Cursor では、バンドルを ~/.cursor/plugins/local/weavatrix-online からローカルに読み込めます。公開マーケットプレイスでの検索は、掲載内容の審査と承認後に開始されます。

MCP の直接起動

グローバルにインストールせず、固定されたリリースを実行します。

npx -y [email protected] C:\path\to\repository

このコマンドは stdio MCP サーバーを起動します。最初の位置引数は、分析対象のリポジトリです。既存のグラフは明示的に指定できます。

npx -y [email protected] C:\graphs\repository\graph.json C:\path\to\repository

npm パッケージは実行可能な MCP 製品として設計されています。存在しない JavaScript ライブラリエントリーポイントを提供することはありません。

Codex

[mcp_servers.weavatrix_online]
command = "npx"
args = ["-y", "[email protected]", "C:\\path\\to\\repository"]

[mcp_servers.weavatrix_online.env]
WEAVATRIX_SYNC_URL = "https://app.weavatrix.com/api/v1/graphs/sync"
WEAVATRIX_SYNC_TOKEN = "load-from-runtime-secret-storage"

Claude Desktop

{
  "mcpServers": {
    "weavatrix-online": {
      "command": "npx",
      "args": [
        "-y",
        "[email protected]",
        "C:\\path\\to\\repository"
      ],
      "env": {
        "WEAVATRIX_SYNC_URL": "https://app.weavatrix.com/api/v1/graphs/sync",
        "WEAVATRIX_SYNC_TOKEN": "load-from-runtime-secret-storage"
      }
    }
  }
}

ベアラートークンは MCP クライアントのランタイムシークレットストレージに保管してください。Git、コミット済みの .env、リリースログ、またはチェックイン済みの MCP 設定には記載しないでください。

7 つの Online ツール

ツール	ネットワーク	証拠と動作
online_status	あり	リポジトリの証拠を送信せずに、エンドポイントの機能、ペイロードのバージョン、制限、認証方式を確認します。
refresh_advisories	あり	依存関係の正確な座標を一覧化し、OSV に問い合わせ、返されたレコードを検証して、ローカルキャッシュをアトミックに更新します。
scan_dependency_vulnerabilities	なし	現在のインベントリをそのキャッシュと照合します。カバレッジが不足している場合、古い場合、不完全な場合、または一致しない場合は、NOT_CHECKED または PARTIAL のままです。
scan_dependency_malware	なし	インストール済みの依存関係ファイルを対象に、範囲を限定した静的レビューを実行します。検出結果にはレビューが必要であり、侵害の判定として扱われることはありません。
pull_architecture_contract	あり	現在の不透明なリポジトリ ID に対するオーナー承認済みのターゲットを取得し、検証して、ローカルグラフキャッシュを更新します。
preview_sync	なし	許可リストにある正確なペイロードをシリアライズしてハッシュ化し、5 分間有効な確認トークンを発行します。
sync_graph	あり	preview_sync で承認されたペイロードのみを送信します。dry_run:false と一致するトークンが必須です。

読み取り専用のリポジトリインテリジェンスには Weavatrix Core を、 保護されたソース変更には Weavatrix Refactor をインストールしてください。それぞれのメソッドは、引き続き各製品に属します。

典型的なワークフロー

リポジトリに関する作業を始める前に、エンドポイントとの互換性を確認します。

{"name":"online_status","arguments":{"timeout_ms":10000}}

アドバイザリの証拠を更新してから、ローカルで評価します。

{"name":"refresh_advisories","arguments":{"timeout_ms":20000}}
{"name":"scan_dependency_vulnerabilities","arguments":{"max_age_days":30}}

送信せずに、アップロード内容を正確に確認します。

{"name":"preview_sync","arguments":{"payload_version":3}}

人間または信頼できるコントローラーが、表示された送信先、セクションの概要、件数、サイズ、本文のハッシュを承認した後、返されたトークンを使用します。

{
  "name": "sync_graph",
  "arguments": {
    "payload_version": 3,
    "dry_run": false,
    "confirm_token": "token-returned-by-preview_sync",
    "timeout_ms": 30000
  }
}

グラフ、リポジトリ、送信先、ペイロード、有効期限の状態を変更すると、その承認は無効になります。エンドポイントがリクエストを拒否した場合、または利用できない場合、グラフはローカルに保持されます。

ネットワークと同意の境界

local repository
      │
      ▼
local graph + derived evidence
      │
      ▼
preview_sync ── inspect destination, sections, counts, size, and SHA-256
      │
      ▼
explicit approval
      │
      ▼
sync_graph ── capability negotiation ── approved endpoint

コネクターは次の内容を適用します。

• ループバック以外のすべての送信先で HTTPS を使用します。
• ローカル開発ではループバックのみ HTTP を使用できます。
• URL への認証情報の埋め込みを禁止します。
• アップロード前にエンドポイントの機能をネゴシエーションします。
• バージョン管理されたペイロードの許可リストを、制限付きで適用します。
• 正確なプレビューのハッシュ化と、短時間のみ有効な確認トークンを使用します。
• 証拠が不完全な場合は、NOT_CHECKED および PARTIAL を適切に表示します。

同期ペイロードには、範囲を限定したグラフトポロジーと、選択された派生証拠が含まれます。 ソース本文、スニペット、絶対ホストパス、環境値、認証情報、Git リモート、およびワイヤー形式の許可リストにないフィールドは含まれません。「ソースを含まない」ことは匿名であることを意味しません。承認前に、表示されたリポジトリ ID、送信先、件数、セクション、ハッシュを確認してください。

設定

変数	必須	意味
WEAVATRIX_SYNC_URL	Online のネットワークワークフローでは必須	クラウドまたは互換性のあるセルフホスト可能な同期エンドポイントです。
WEAVATRIX_SYNC_TOKEN	Cloud／認証が必要なエンドポイントでは必須	スコープが限定されたベアラートークンです。承認済みのエンドポイントにのみ送信されます。
WEAVATRIX_CAPABILITIES_URL	いいえ	明示的に指定する機能ドキュメントです。指定がない場合は /api/v1/capabilities を使用し、レガシーの /api/health にフォールバックします。
WEAVATRIX_ARCHITECTURE_URL	いいえ	オーナー承認済みのアーキテクチャ契約エンドポイントを明示的に指定します。
WEAVATRIX_PRECISION	いいえ	ローカルの意味解析精度です。lsp（デフォルト）または off を指定します。
WEAVATRIX_GRAPH_HOME	いいえ	ローカルのグラフ／キャッシュの保存先を上書きします。
WEAVATRIX_ADVISORY_STORE	いいえ	ローカルのアドバイザリーキャッシュファイルを上書きします。

互換性のあるエンドポイントは、バージョン管理された機能および同期の契約を実装している必要があります。機能の確認自体では、リポジトリの証拠は送信されません。

誤った確信を避けるセキュリティ証拠

アドバイザリーの更新では、範囲を限定したリポジトリマニフェストで見つかった、固定バージョンの npm、PyPI、Go、Maven/Gradle、crates.io のコーディネートを対象とします。現在のインベントリが完全かつ最新の Online キャッシュと一致する場合に限り、ゼロ件という結果を許容します。

マルウェアのレビューは、静的かつ範囲を限定して実施します。ダウンロードして実行するライフサイクルスクリプト、リバースシェルのパターン、デコード後の実行、マイナーの兆候、認証情報ファイルの読み取り、不審な情報流出先などの証拠を特定できます。実行の有無、来歴、認証情報の漏えい、安全性、侵害を証明することはできません。

アーキテクチャ契約は、有効化する前にローカルで検証されます。

脆弱性は GitHub Security Advisories を通じて非公開で報告してください。

アーキテクチャ

コネクターは、厳格なモジュール型のポートとアダプターのシステムです。

policy
  └─ discovery adapters
       └─ security cache and evidence services
            └─ Online actions
                 └─ MCP composition and executable

• policy：宛先の検証、バージョンの照合、インベントリ識別子、マルウェア証拠のルール。
• discovery：範囲を限定したマニフェストおよびインストール済みパッケージのアダプター。
• security：アドバイザリー状態のアトミックな管理、キャッシュとの照合、スキャン、報告。
• online-actions：ケイパビリティ、契約、アドバイザリー、プレビュー、同期のユースケース。
• composition：拡張機能の登録、ランチャー、stdio 実行ファイル。

チェックイン済みの アーキテクチャ契約 は、実行時の循環依存がゼロであること、本番ファイルが物理行数で 300 行以下であること、関数が物理行数で 100 行以下であることを、例外や違反ベースラインなしで徹底します。

開発とリリースの証明

npm ci --ignore-scripts
npm test
npm run verify:release
npm audit
npm pack --dry-run --json

リリースゲートでは、パッケージの識別情報、依存関係の範囲、正確なインストール済みバージョン、MCP Registry のメタデータ、チェックイン済みのリリースノート、MIT ライセンス、公開ファイルの許可リスト、タグとバージョンの一致を検証します。CI では、Node.js 24 でテスト、セキュリティ監査、パッケージのドライランを再実行します。

ライセンス

MIT。Weavatrix Online と、その内部の weavatrix-js ランタイムは、独立してバージョン管理される MIT ライセンスのパッケージです。