CyberLens

Cyber Lens AI MCP サーバー

AI アシスタントとエージェント型コーディングワークフローのためのセキュリティスキャン。

AI アシスタントにウェブサイト、公開リポジトリ、Open CLAW スキルのセキュリティ脆弱性をスキャンする機能を提供する、Model Context Protocol（MCP）サーバーです。エージェント型コーディングの時代に向けて特化しており、スキルパッケージをインストールする前にスキャンするネイティブサポートを備えています。

---

できること

AI アシスタント（Claude Desktop、VS Code など）に接続すると、この MCP サーバーによって、会話中にアシスタントが使用できるセキュリティスキャンツールが追加されます。

• CLAW スキルをスキャンしてからインストールできます。サーバーがスキルパッケージをダウンロードして展開し、危険なパターン、ハードコードされたシークレット、権限の問題がないか、実際のソースコードを分析します
• ウェブサイトをスキャンできます。アカウントなしでローカルのクイックモードを使用するか、接続時に完全なクラウドスキャンを利用できます
• 公開リポジトリをスキャンして、露出したシークレット、依存関係の脆弱性、不審なコードパターン、信頼性に関する問題を検出できます
• 残りのクラウドスキャン回数を確認してから、複数のスキャンを開始できます
• 修正ガイダンスを取得できます。手順ごとの修正方法とコード例が示されます

会話例

You:    "I want to install this skill: https://clawhub.ai/skills/ontology"

Claude: I'll scan it for security issues first.

        [PASS] CLAW Skill Security Scan: ontology v1.0.4

        Security Score: 95/100
        Files Analyzed: 5

        Skill appears safe to install. Minor issues noted below.

        1. [MEDIUM] File write operation
           File: scripts/ontology.py:399
           Fix: Ensure file writes are limited to expected directories.

        The skill looks safe. It writes to the filesystem for its knowledge
        graph storage, which is expected behaviour for this type of skill.

---

はじめに

1. インストール

最初の npm リリース後は、次のインストール方法を推奨します。

npx -y @shadoprizm/cyberlens-mcp-server

それ以前、またはローカル開発や手動ビルドの場合は、次の方法を使用します。

git clone https://github.com/shadoprizm/cyberlens-mcp-server.git
cd cyberlens-mcp-server
npm install
npm run build

2. AI アシスタントに追加

Claude Desktop — ~/Library/Application Support/Claude/claude_desktop_config.json（macOS）または %APPDATA%\Claude\claude_desktop_config.json（Windows）に追加します。

{
  "mcpServers": {
    "cyberlens": {
      "command": "npx",
      "args": ["-y", "@shadoprizm/cyberlens-mcp-server"]
    }
  }
}

npm ではなくソースのチェックアウトから実行する場合は、次の設定を使用します。

{
  "mcpServers": {
    "cyberlens": {
      "command": "node",
      "args": ["/absolute/path/to/cyberlens-mcp-server/dist/index.js"]
    }
  }
}

Claude Code — MCP の設定またはプロジェクト設定に追加します。

VS Code（Copilot/Continue） — 拡張機能の MCP サーバー設定に従って構成します。

3. アカウントを接続

ウェブサイト用ツールは、ローカルのクイックモードであればアカウントなしですぐに使用できます。このローカルモードでは、約 15 件の主要なチェックを行い、すぐに結果を返します。

アカウントを接続すると、ウェブサイトのスキャンが 70 件以上のチェック、スキャン履歴、AI 分析を備えた CyberLens の完全なクラウドスキャンにアップグレードされます。リポジトリ用ツールとアカウント専用ツールは、必要に応じて引き続きブラウザフローで接続します。

リポジトリ用ツールまたはアカウント専用ツールでアカウントが必要になると、MCP サーバーは次の処理を行います。

1. CyberLens のブラウザフローを自動的に開きます
2. ユーザーを cyberlensai.com に移動し、新規登録またはログインを促します
3. セキュアなコールバックをローカルで受け取ります
4. API キーを ~/.cyberlens/mcp/config.json に保存します
5. 元のツール呼び出しを自動的に続行します

同じフローを明示的に開始することもできます。

You: "Connect my CyberLens account"

ブラウザが開き、cyberlensai.com に移動します。ここで無料登録またはログインできます。API キーはローカルの ~/.cyberlens/mcp/config.json に保存され、以降のすべてのスキャンで使用されます。

無料アカウントでは、月 5 回までスキャンできます。クレジットカードは不要です。

ブラウザフローの代わりに、MCP 設定で CYBERLENS_API_KEY 環境変数を設定することもできます。

クラウドのウェブサイトスキャンが月間上限に達した場合、MCP サーバーは CyberLens の料金ページを自動的に開き、エラーで停止する代わりにローカルのクイックスキャンに切り替えます。リポジトリのスキャンには引き続きクラウドのスキャン回数が必要です。

---

利用可能なツール

アカウント

ツール	説明	API キーが必要
connect_account	ブラウザを開いて新規登録またはログインし、API キーをローカルに保存します	いいえ
get_account_quota	現在のプランと、残りのウェブサイト／リポジトリスキャン回数を表示します。必要な場合は初回使用時に自動接続します	はい

CLAW スキルのスキャン

ツール	説明	API キーが必要
scan_claw_skill	CLAW Hub または直接リンク先のスキルパッケージをダウンロードし、セキュリティ上の問題を分析します	いいえ
validate_claw_skill	スキルマニフェストをセキュリティのベストプラクティスに照らして検証します	いいえ

ウェブサイトとリポジトリのスキャン

ツール	説明	API キーが必要
scan_website	アカウントなしでローカルのクイックスキャンを実行します。接続時はクラウドのフルスキャンを実行し、ウェブサイトのクラウド利用枠を使い切った場合はローカルスキャンにフォールバックします	ローカルでは不要、クラウドのフルスキャンでは必要
scan_repository	GitHub、GitLab、Bitbucket、およびサポート対象の ZIP を対象に、公開リポジトリのセキュリティスキャンを実行します。必要に応じて初回使用時に自動接続します	はい
get_scan_results	完了したクラウドスキャンの詳細な検出結果を取得します。必要に応じて初回使用時に自動接続します	はい
get_security_score	アカウントなしでローカルのクイックスキャンスコアを表示します。接続時はクラウドのフルスキャンスコアを表示します	ローカルでは不要、クラウドのフルスキャンでは必要

インテリジェンスとガイダンス

ツール	説明	API キーが必要
get_remediation_guide	一般的な CWE と脆弱性クラスに対応する、組み込みのローカル修復プレイブックを提供します	いいえ
get_scan_transparency	MCP サーバーのローカルチェックと稼働中のクラウドエンドポイントについて、正確なレポートを提供します	いいえ

---

スキルスキャンの仕組み

CLAW スキルの URL を指定すると、MCP サーバーは次の処理を行います。

1. URL を解決します。Claw Hub のページ（https://clawhub.ai/skills/skill-name）、直接ダウンロードリンク（https://*.convex.site/api/v1/download?slug=name）、またはスキルの ZIP を指す任意の URL を受け付けます
2. スキルパッケージを一時ディレクトリにダウンロードします
3. パッケージ内のすべてのファイルを展開して分析します。
   • _meta.json と SKILL.md が完全かどうかを確認します
   • すべてのソースコード（Python、JavaScript、TypeScript、シェルスクリプト、設定ファイル）をスキャンし、危険なパターンを検出します
   • ハードコードされたシークレット、eval() の使用、シェルコマンドの実行、安全でない HTTP リクエスト、ファイル削除操作、pickle のデシリアライズなどを検出します
   • バージョンが固定されていない依存関係を特定します
   • スキルが通信するすべての外部 URL を一覧にします
4. 詳細な検出結果、ファイルの場所、修正案とともに、セキュリティスコア（0～100）を返します
5. すべての一時ファイルを削除します

このプロセスはすべてローカルで実行されるため、API キーは不要で、コードが外部サーバーに送信されることもありません。

ウェブサイトスキャンのモード

scan_website と get_security_score では、現在、次の2つのモードを提供しています。

• ローカルクイックスキャン — アカウントなしで利用でき、すぐに結果を返します。HTTPS、セキュリティヘッダー、サーバー情報の公開、安全でないフォーム、インラインスクリプトの兆候など、約15項目の基本的なウェブサイトチェックを行います
• クラウドフルスキャン — CyberLens アカウントへの接続が必要です。70項目以上のチェックを実行し、クラウドにスキャン履歴を保存するほか、より詳細な分析を行います

アカウントを持たないユーザーが full または database のウェブサイトスキャンをリクエストした場合、MCP サーバーはローカルクイックスキャンの結果を返し、リクエストされたクラウド専用モードは利用できなかったことを伝えます。

接続済みユーザーがウェブサイトのクラウド利用枠を使い切ると、CyberLens は自動的にローカルクイックスキャンにフォールバックし、アップグレードリンク付きの料金ページを開きます。

受け付ける URL 形式

https://clawhub.ai/skills/ontology            --> Resolves automatically
https://clawhub.ai/author/skill-name          --> Resolves automatically
https://*.convex.site/api/v1/download?slug=x  --> Direct download

---

アーキテクチャ

src/
  index.ts          MCP server, tool handlers, output formatting
  auth.ts           Browser-based connect flow, config file management
  client.ts         REST API client for live scan and quota endpoints
  remediation-guides.ts  Local CWE and vulnerability remediation guidance
  schemas.ts        Zod input validation schemas
  skill-scanner.ts  Local CLAW skill analyser (download, extract, scan)
  skill-validation.ts    Local CLAW manifest validation
  transparency.ts        Local transparency report for scan coverage

主な設計上の決定事項：

• Supabase SDK は使用しません -- fetch と X-API-Key ヘッダーを使った純粋な REST 呼び出しです
• クラウド機能を正確に反映 -- MCP サーバーが公開するのは、稼働中の公開 API（/scan、/scan/{id}、/quota）でサポートされている、クラウドに依存するツールのみです
• Stdio トランスポート -- AI アシスタントのサブプロセスとして動作し、stdin/stdout 経由で通信します
• API キーなしでも利用可能 -- スキルのスキャン、Web サイトのクイックスキャン、マニフェストの検証、修正方法の案内、透明性レポートはローカルで利用できます。アカウントを接続すると、Web サイトのスキャンでクラウドの全機能を利用でき、リポジトリのスキャンも使えるようになります
• ブラウザー経由の認証 -- CyberLens OpenClaw スキルと同じセキュアな接続フロー（CSRF 保護、短期間のみ有効な交換コード、HTTPS のみ）を使用します

---

開発

# Build
npm run build

# Watch mode
npm run dev

# Run directly (for testing)
echo '{"jsonrpc":"2.0","id":1,"method":"initialize","params":{"protocolVersion":"2024-11-05","capabilities":{},"clientInfo":{"name":"test","version":"1.0.0"}}}' | node dist/index.js

環境変数

変数	必須	デフォルト	説明
CYBERLENS_API_KEY	いいえ	--	API キー（ブラウザー接続フローの代わりに使用できます）
CYBERLENS_API_BASE_URL	いいえ	https://api.cyberlensai.com/functions/v1/public-api-scan	API エンドポイントの上書き

---

公開

このリポジトリは、以下の名前で npm と MCP Registry に公開できるよう準備されています。

• npm パッケージ：@shadoprizm/cyberlens-mcp-server
• MCP サーバー名：io.github.shadoprizm/cyberlens-mcp-server

一般的なリリース手順：

# 1. Bump the version
npm version patch

# 2. Publish the package to npm
npm publish

# 3. Authenticate with the MCP Registry
mcp-publisher login github

# 4. Publish server.json to the MCP Registry
mcp-publisher publish

レジストリのメタデータはルートの server.json ファイルにあり、npm の所有権チェックでは package.json の mcpName フィールドを使用します。

---

関連プロジェクト

• CyberLens OpenClaw Skill -- 同じスキャン機能を備えた OpenClaw スキル版です
• CyberLens -- ブラウザー経由のスキャン、ダッシュボード、レポート機能を備えたフルプラットフォームです
• OpenClaw -- AI エージェント向けのオープンスキルエコシステムです

---

ライセンス

MIT