Hound Mcp

Hound MCP

面向 AI 编码 Agent 的依赖猎犬。

Hound MCP 部署图

为什么选择 Hound？

AI 编码 Agent 会推荐并安装软件包，却不知道它们是否安全——而大多数安全工具都要求注册账号、提供 API 密钥或购买付费计划才能提供相关信息。Hound 解决了这个问题：它可以扫描漏洞、检查许可证、审计依赖树，并在 7 个生态系统中检测仿冒包——无需配置、无需 API 密钥、完全免费。

Hound 是唯一专为 AI 编码 Agent 打造的安全工具——支持 npm、PyPI、Go、Cargo、Maven、NuGet 和 RubyGems，并且开箱即用，可接入 Claude Code、Cursor、VS Code 和任何 MCP 客户端。

它使用两个完全免费、无需身份验证的公共 API：deps.dev（Google Open Source Insights）和 OSV（Google Open Source Vulnerabilities）。

---

快速开始

Claude Code

claude mcp add hound -- npx -y hound-mcp

Claude Desktop / Cursor / Windsurf

添加到 MCP 配置文件：

{
  "mcpServers": {
    "hound": {
      "command": "npx",
      "args": ["-y", "hound-mcp"]
    }
  }
}

VS Code（Copilot）

{
  "mcp": {
    "servers": {
      "hound": {
        "type": "stdio",
        "command": "npx",
        "args": ["-y", "hound-mcp"]
      }
    }
  }
}

配置文件位置

客户端	配置路径
Claude Desktop（macOS）	~/Library/Application Support/Claude/claude_desktop_config.json
Cursor	~/.cursor/mcp.json
Windsurf	~/.codeium/windsurf/mcp_config.json

---

工具

12 个工具 → 完整参考及示例输出

工具	功能说明
hound_audit ⭐	扫描整个锁文件，检查所有依赖项中的漏洞
hound_score	0–100 分的 Hound 评分（漏洞 + 评分卡 + 时效性 + 许可证），并提供字母等级
hound_compare	并排比较两个软件包并给出建议
hound_preinstall	安装软件包前给出 GO / CAUTION / NO-GO 判定
hound_upgrade	找出可解决所有已知漏洞的最低安全版本升级
hound_license_check	根据策略扫描锁文件，检查许可证合规性
hound_vulns	按严重程度分组，列出某个软件包版本的所有已知漏洞
hound_inspect	完整的软件包概况——许可证、漏洞、评分卡、星标数、依赖数量
hound_tree	完整的已解析依赖树，包含传递依赖
hound_typosquat	检测软件包名称的仿冒变体
hound_advisories	根据 GHSA、CVE 或 OSV ID 获取完整公告详情
hound_popular	扫描热门软件包，检查已知漏洞

支持的生态系统： npm · pypi · go · maven · cargo · nuget · rubygems

内置提示词

可从 AI 客户端直接调用的 3 个提示词。→ 完整提示词参考

提示词	功能说明
security_audit	全面的项目安全审计——漏洞、许可证和仿冒包
package_evaluation	添加新依赖前给出是否采用的建议
pre_release_check	发布前依赖扫描，标记可能阻碍发布的问题

使用场景

→ 查看包含真实锁文件和预期输出的完整示例

• 合并 PR 前——扫描锁文件差异，在漏洞进入主分支前发现新引入的漏洞
• 审计继承的代码库——对现有锁文件运行 hound_audit，几秒内即可获取完整报告
• 添加软件包前进行检查——使用 hound_preinstall 获取 GO / CAUTION / NO-GO 结论
• 许可证合规性——运行 hound_license_check，确保 GPL 或 AGPL 软件包不会混入商业项目
• CI 安全门禁——让你的 AI Agent 在每次发布检查中执行安全审计

---

本地开发

git clone https://github.com/tiluckdave/hound-mcp.git
cd hound-mcp
pnpm install
pnpm build
pnpm test         # run tests
pnpm check        # typecheck + lint + test

路线图

• Docker 支持——将 Hound 作为容器运行，用于 CI/CD 流水线
• bun.lockb 解析器——支持 Bun 锁文件
• gradle.lockfile 解析器——支持 Gradle（Java/Android）生态系统
• hound_diff 工具——比较两个锁文件快照，找出新引入的风险
• GitHub Action——无需 AI Agent，即可将 hound_audit 作为 PR 检查运行

贡献

欢迎贡献。阅读 CONTRIBUTING.md 开始参与。

唯一的规则：Hound 必须始终零配置且永久免费。 不要添加需要 API 密钥或账户的功能。

适合新手的议题已添加标签并准备就绪。

---

社区

💬 有问题或想法？发起讨论

许可证

MIT © 2026 Tilak Dave