Bright Security Mcp

Bright MCP 集成

Bright 的模型上下文协议（MCP）集成可将AI 驱动的应用安全测试直接融入开发工作流。你的 AI 编码助手可以通过自然语言对话发现 API 端点、运行安全扫描并检查漏洞。

**Bright MCP 是一个远程、托管在云端的 MCP 服务。**无需在本地安装任何内容——只需将 MCP 兼容客户端指向 Bright 的端点，并使用 API 密钥进行身份验证。

快速入门

1. 获取 Bright API 密钥

在 Bright 账户中创建专用 API 密钥。可以使用具有相关作用域的个人、项目或组织级密钥。详情请参阅个人 API 密钥作用域。

2. 配置客户端

在你选择的 IDE 或工具中将 Bright 添加为远程 MCP 服务。服务 URL 为：

https://app.brightsec.com/mcp

**注意：**如果你的组织使用专用 Bright 集群，请将 app.brightsec.com 替换为该集群的主机名。

请参阅下方的客户端配置，了解针对 IDE 的具体说明。

3. 开始使用

可以向 AI 助手提出类似这样的问题：

Scan https://my-app.example.com for security vulnerabilities

你的助手将使用 Bright MCP 工具列出项目、发现入口点、运行扫描并报告发现结果。

---

客户端配置

VS Code（GitHub Copilot）

将以下内容添加到 MCP 配置中（通过命令面板 →“MCP: Add Server”→ Global，或手动编辑 mcp.json）：

{
  "servers": {
    "brightsec.com": {
      "type": "sse",
      "url": "https://app.brightsec.com/mcp",
      "headers": {
        "Authorization": "Api-Key ${input:apiKey}"
      }
    }
  },
  "inputs": [
    {
      "type": "promptString",
      "id": "apiKey",
      "description": "Enter your Bright API Key",
      "password": true
    }
  ]
}

然后转到扩展选项卡，右键单击 brightsec.com MCP 服务，并选择 Start Server。系统会提示你输入 API 密钥。

完整指南：在 VS Code 中配置 Bright MCP

Augment Code

1. 打开 Augment Code 扩展设置 → Tools → MCP。
2. 单击 + Add remote MCP。
3. 填写：
   • Connection Type: HTTP
   • Authentication Type: Header
   • Name: BrightSec
   • URL: https://app.brightsec.com/mcp
   • Header Name: Authorization
   • Header Value: Api-Key YOUR_API_KEY
4. 单击 Save。

完整指南：在 Augment Code 中配置 Bright MCP

Cursor

将以下内容添加到 Cursor MCP 设置中（.cursor/mcp.json）：

{
  "mcpServers": {
    "brightsec": {
      "url": "https://app.brightsec.com/mcp",
      "headers": {
        "Authorization": "Api-Key YOUR_API_KEY"
      }
    }
  }
}

Windsurf

将以下内容添加到 Windsurf MCP 配置中（~/.codeium/windsurf/mcp_config.json）：

{
  "mcpServers": {
    "brightsec": {
      "serverUrl": "https://app.brightsec.com/mcp",
      "headers": {
        "Authorization": "Api-Key YOUR_API_KEY"
      }
    }
  }
}

通用 MCP 客户端

任何支持远程 HTTP/SSE 服务的 MCP 兼容客户端都可以连接 Bright。请按以下内容进行配置：

设置	值
传输方式	SSE（服务器发送事件）或 HTTP
URL	https://app.brightsec.com/mcp
身份验证标头	Authorization: Api-Key YOUR_KEY

---

可用工具

Bright MCP 向你的 AI 助手提供以下工具：

项目管理

工具	描述
listProjects	列出 API 密钥可访问的所有项目。可用此工具查找其他操作所需的项目 ID。

端点发现

工具	描述
runDiscovery	使用爬取（crawlerUrls）或 API 定义（uploadApiDefinition 返回的 fileId）发现 API 端点。运行前，请使用 listEntrypoints 检查项目是否已有入口点。对于私有或本地目标，请通过 repeaters 指定已连接的中继器。
getDiscoveryStatus	获取发现任务的当前状态。
listDiscoveries	列出项目的发现历史记录。查看过去的发现任务，或监控正在进行的端点发现。
uploadApiDefinition	通过 URL 或内容上传 API 定义文件（OpenAPI/Swagger）。返回可在发现任务中引用的文件 ID。

入口点管理

工具	描述
listEntrypoints	列出为项目发现的 API 端点/URL。可用于选择要扫描的入口点，或评估攻击面覆盖情况。支持按 HTTP 方法、状态和文本搜索进行筛选。
getEntrypoint	按 ID 获取特定入口点的详细信息，包括标头、正文和配置。
addEntrypoint	为项目添加新的入口点。入口点定义可用于安全扫描的 HTTP 请求（方法、URL、标头、正文）。
editEntrypoint	更新现有入口点。修改 HTTP 请求定义、身份验证或 repeater 设置。

安全扫描

工具	描述
runScan	针对所选入口点启动安全扫描。支持按 ID 或状态（例如 new、changed、vulnerable）指定目标入口点。可配置要运行的测试，或使用扫描模板。对于私有/本地目标，请指定已连接的 repeater。
getScanStatus	获取正在运行的扫描的当前状态。
listScans	列出项目的扫描历史记录。查看过去的扫描结果，或检查多个正在进行的扫描的状态。
listTests	列出所有可用的安全测试（例如 SQL 注入、XSS、CSRF），这些测试可纳入扫描。

漏洞管理

工具	描述
listIssues	列出项目发现的安全漏洞。可按严重程度（Low、Medium、High、Critical）、状态（new、recurring、resolved、ignored）或入口点筛选。

身份验证配置

工具	描述
listAuths	列出项目的身份验证配置。在扫描需要身份验证的受保护端点之前使用。
getAuth	获取特定身份验证配置的详细信息。
addAuth	创建新的身份验证配置。支持多种身份验证类型：静态标头、OAuth 2.0/OIDC、多步骤 HTTP 流程、NTLM、基于浏览器的登录，以及录制的浏览器流程。
editAuth	更新现有身份验证配置。

私有/本地目标访问

工具	描述
createRepeater	创建用于访问私有/本地目标的 repeater。创建后，运行 Bright CLI 以启动 repeater 并建立连接。
listRepeaters	列出 repeater 及其连接状态。扫描非公开应用程序前，请确认 repeater 已连接。

---

使用示例

扫描公开应用程序

“扫描 https://my-app.example.com，查找安全漏洞”

助手将：

1. 列出你的项目，找到合适的项目
2. 获取该项目发现的所有入口点
3. 对这些入口点运行安全扫描
4. 监控扫描状态并报告发现结果

从 OpenAPI 规范中发现端点

“从 https://my-app.example.com/openapi.json 的 OpenAPI 规范中发现 API 端点”

助手将：

1. 上传 OpenAPI 定义文件
2. 运行基于文件的发现
3. 监控发现状态

扫描本地/私有应用程序

“扫描我位于 http://localhost:3000 的本地应用程序”

助手将：

1. 检查是否已安装用于 repeater 连接的 Bright CLI
2. 列出你的项目，找到合适的项目
3. 如有需要，创建 repeater
4. 通过 repeater 运行安全扫描
5. 监控扫描状态并报告发现结果

检查严重漏洞

“显示我项目中所有严重和高危的问题”

助手将：

1. 列出你的项目
2. 查询严重程度为 Critical 和 High 的问题
3. 展示详细发现结果

使用身份验证进行扫描

“扫描我的 API，该 API 需要使用 Bearer 令牌进行身份验证”

助手将：

1. 创建或查找现有的身份验证配置
2. 设置正确的标头和令牌流程
3. 应用身份验证后运行扫描

如需查看更详细的工作流示例，请参阅 examples/ 目录。

---

工作原理

┌─────────────────────┐         ┌──────────────────────┐
│   AI Assistant       │  MCP    │   Bright Cloud       │
│   (VS Code, Cursor,  │◄──────►│   (app.brightsec.com)│
│    Windsurf, etc.)   │  SSE    │                      │
└─────────────────────┘         └──────────┬───────────┘
                                           │
                                           │ Scans
                                           ▼
                                ┌──────────────────────┐
                                │   Your Application   │
                                │   (public or via      │
                                │    repeater)          │
                                └──────────────────────┘

1. 你的 AI 助手通过 SSE/HTTP 连接到 Bright 的 MCP 端点。
2. Bright 的云平台接收工具调用并协调安全操作。
3. 针对你的应用运行扫描——直接扫描（面向公开目标），或通过 Repeater 扫描（面向私有/本地目标）。

---

Repeater（私有/本地目标）

如需扫描无法公开访问的应用，Bright 会使用 Repeater——轻量级 Agent，通过它将扫描流量从 Bright 云端路由至你的本地网络。

1. 通过 MCP 工具创建 repeater（createRepeater）
2. 使用 Bright CLI 启动 repeater：

   bright-cli repeater \
     --id <REPEATER_ID> \
     --hostname app.brightsec.com \
     --token <YOUR_API_KEY>
   

3. 运行扫描或发现任务时指定 repeater

有关设置说明，请参阅 Bright CLI 安装指南。

---

资源

• Bright 文档
• Bright MCP 工具参考
• VS Code 配置指南
• Augment Code 配置指南
• API 密钥权限范围
• Bright CLI 安装
• Model Context Protocol 规范

---

许可证

此仓库包含 Bright MCP 集成的配置示例和文档。Bright 安全扫描平台是一款商业 SaaS 产品——访问 brightsec.com 了解更多信息。