GoMobSec

GoMobSec MCP サーバー

GoMobSec 公式の Model Context Protocol サーバーです。 Claude、Cursor、VS Code、その他の MCP クライアントから、Android アプリと iOS アプリのセキュリティ上の問題をスキャンできます。結果は OWASP MASVS、CWE、CVSS に対応付けられ、ペネトレーションテスト形式の完全なレポートをダウンロードできます。

You: Scan ./build/app-release.apk and tell me what to fix first.
AI:  start_scan → wait_for_scan → get_findings → a prioritised fix plan

インストールせずに Claude で使う

GoMobSec では、このサーバーを https://mcp.gomobsec.ai/mcp で運用しています。Claude で 設定 → コネクタ → カスタムコネクタを追加 に進み、この URL を入力して、GoMobSec アカウント（Professional および Enterprise プラン）でサインインしてください。セットアップ、ツール、セキュリティ、プライバシーについては docs/HOSTED.md をご覧ください。

このページの残りの部分では、アプリをディスクから直接読み込み、API キーで認証するローカルサーバーについて説明します。

必要条件

• API キーを持つ GoMobSec アカウント。GoMobSec の API キーから作成できます。 API キーは Professional および Enterprise プランで利用できます。
• uv（推奨）または Python 3.10 以降。

インストール

サーバーは stdio を介してローカルで実行されます。API キーはお使いのマシンに保持され、サーバーは APK または IPA をディスクから直接読み込みます。

Claude Code

claude mcp add gomobsec --env GOMOBSEC_API_KEY=your-key -- uvx gomobsec-mcp

Claude Desktop、Cursor、Windsurf など

クライアントの MCP 設定ファイルに以下を追加します。Claude Desktop の場合は claude_desktop_config.json、Cursor の場合は ~/.cursor/mcp.json です。

{
  "mcpServers": {
    "gomobsec": {
      "command": "uvx",
      "args": ["gomobsec-mcp"],
      "env": { "GOMOBSEC_API_KEY": "your-key" }
    }
  }
}

VS Code

.vscode/mcp.json に以下を追加します。VS Code は初回使用時にキーを要求し、安全に保存します。

{
  "inputs": [
    { "type": "promptString", "id": "gomobsec-key", "description": "GoMobSec API key", "password": true }
  ],
  "servers": {
    "gomobsec": {
      "command": "uvx",
      "args": ["gomobsec-mcp"],
      "env": { "GOMOBSEC_API_KEY": "${input:gomobsec-key}" }
    }
  }
}

uv を使わない場合は、pip install gomobsec-mcp を実行し、コマンドとして gomobsec-mcp を使用します。

ツール

ツール	内容
whoami	キーが紐付いているアカウントとプラン
get_usage	今月のスキャン使用数とプラン上限
list_scans	最近のスキャンを新しい順に表示
get_scan	1 件のスキャンのステータスと、完了後の深刻度別の検出数
get_findings	深刻度、CWE、MASVS カテゴリ、CVSS、場所、説明を含む検出結果。深刻度でフィルタリングできます。依頼がない限り、誤検出は非表示になります
start_scan	ローカルの .apk、.xapk、.apks、.apkm、.ipa ファイルをアップロードして、スキャン（quick、static、full）を開始
wait_for_scan	スキャンの完了を待ち、その間の進捗を報告
download_report	DOCX、XLSX、JSON、SARIF レポートをダウンロードフォルダーに保存

また、完了したスキャンから優先順位付きの修正計画を作成するプロンプト security_review が 1 つあります。

ここで開始したスキャンは、ウェブアプリや CI からのスキャンと同様に、GoMobSec プランの利用数に加算されます。スキャンモードと上限は、ご利用のプランで許可されているものが適用されます。

設定

変数	デフォルト
GOMOBSEC_API_KEY	—	必須。 GoMobSec API キー
GOMOBSEC_DOWNLOAD_DIR	~/Downloads/gomobsec	download_report が書き込む唯一のフォルダー
GOMOBSEC_API_URL	https://api.gomobsec.ai	専用またはオンプレミスの GoMobSec を使用する場合にのみ変更してください
GOMOBSEC_APP_URL	https://gomobsec.ai	レポートリンクのベース URL

セキュリティ

• キーはローカルに保持されます。 環境変数から読み込まれ、GoMobSec に HTTPS 経由で送信されるだけです。ファイルに書き込まれたり、ツールの出力に含まれたりすることはありません。
• アップロードできるのはアプリパッケージのみです。 start_scan が送信するのはモバイルアプリのパッケージだけです。適切な拡張子を持つ ZIP アーカイブで、サイズは最大 250 MB です。このツールで、マシン上のほかのファイルをアップロードすることはできません。
• ダウンロードによって既存のファイルが上書きされることはありません。 download_report はパスを受け取りません。GOMOBSEC_DOWNLOAD_DIR に新しいファイル（モード 0600）を書き込み、既存のファイルを置き換えることはありません。
• 検出内容のテキストは信頼できないものとして扱われます。 タイトルや説明にはスキャン対象のアプリに由来する文字列が含まれることがあり、それらはアプリの作成者が制御できます。サーバーは制御文字や双方向テキスト制御文字を除去し、テキストをフェンス付きデータブロック内に保持したうえで、モデルにデータとして扱うよう指示します。それでも、信頼できないアプリをスキャンした結果を読んだ後にアシスタントが行うことを確認してください。
• アクセスできるのは自身のスキャンに限られます。 キーでアクセスできるのは、そのキーのアカウントまたは組織のスキャンだけです。GoMobSec でいつでもキーを無効にできます。

脆弱性の報告については、SECURITY.md をご覧ください。

プライバシー

ローカルサーバーは何も保持しません。環境変数から API キーを読み込み、GoMobSec にのみリクエストを送信し、要求されたレポートのみを書き込みます。スキャン対象のアプリに対して GoMobSec が行うことについては、GoMobSec のプライバシーポリシーをご覧ください。ホスト型コネクターについては、そのプライバシーポリシーをご覧ください。

開発

python -m venv .venv && . .venv/bin/activate
pip install -e ".[test]"
pytest

MCP Inspector でお試しください：npx @modelcontextprotocol/inspector gomobsec-mcp。

ホスト型コネクターのテスト（tests/test_hosted.py）では、空きポートで実際の HTTP サーバーを起動し、GoMobSec 側を偽装して OAuth フロー全体を実行します。

リリース

1. src/gomobsec_mcp/__init__.py のバージョンと、server.json 内の両方の version フィールドを更新します（テストとリリースワークフローで一致を確認します）。さらに、CHANGELOG.md にエントリーを追加します。
2. vX.Y.Z のタグを付けて GitHub リリースを公開します。Publish ワークフローがテストとビルドを行い、PyPI（Trusted Publishing）にアップロードした後、MCP Registry（GitHub OIDC）に登録します。リポジトリにトークンは保存されません。

ライセンス

MIT