Sophos Central MCP

Sophos Central + AI - 适用于 ChatGPT、Claude、GitHub Copilot、Microsoft 365 Copilot、Gemini，以及任何支持 MCP 的 Agent

非官方。由社区构建的 Claude Code Skill 和 Sophos Central API MCP 服务。与 Sophos Limited 无关联，未经其认可或赞助。

_{▶ 观看 30 秒演示 - 演示数据为模拟数据；展示的每条命令都存在于真实 CLI 中。}

Sophos Central 合作伙伴、组织和租户 API，可自动路由至正确的租户和区域，还提供跨租户分流队列、设备群防篡改修复、多租户 SIEM 收集器，以及基于主机名的隔离功能。可与您已在使用的 AI 搭配使用 - ChatGPT（Plus/Pro+，在此连接器重新发布前暂停；请参阅 mcp-install.md）、Claude Desktop、Codex、Claude Code、Claude Cowork 和 GitHub Copilot - 还可通过远程方式使用 Microsoft 365 Copilot / Copilot Studio 和 Google Gemini。免费、开源，可在您的笔记本电脑上运行。专为 MSP 所有者打造。无需编写代码。

适用于您的 Agent

安全提示（此连接器重新发布前）。 请勿运行 HTTP 模式 （--transport http），即使是在 localhost 上也不行。此版本会检查令牌，但 早于修复版本，其中尚未加入请求大小和时间限制。MCP 工具也可能使用您的凭据 进行更改。如果您为远程 Agent 设置了隧道，请关闭它。修复版本即将发布。

MSP 所有者实际使用的六种 Agent（可自行安装，现已可用）：

您的 AI Agent	如何安装 Sophos Central Skill
Claude Desktop	运行安装程序，然后前往 Settings > Extensions 注册 sophos-central-mcp（无需编辑 JSON）。
ChatGPT（付费套餐）	在此连接器重新发布前暂停：ChatGPT 需要使用其 HTTP 模式，而此版本的该模式虽然会检查令牌，但尚未设置请求大小或时间限制。请参阅 mcp-install.md 中的安全提示。
Codex CLI	粘贴下方的安装提示词。
Claude Code	粘贴下方的安装提示词。
Claude Cowork	粘贴下方的安装提示词。
GitHub Copilot（VS Code）	运行安装程序，在 mcp.json 的 servers 键下添加 sophos-central-mcp，然后选择 Agent 模式。

ChatGPT 需要远程 HTTPS 服务，这意味着要使用此连接器的 HTTP 模式；在连接器重新发布前，该模式会暂停：此版本的该模式虽然会检查令牌，但尚未设置请求大小或时间限制。请参阅 mcp-install.md 中的安全提示。

也适用于 Microsoft 和 Google 技术栈

安装量很大，但需要坦诚提醒：这些走的是远程 / 企业路线，而不是你刚安装的本地二进制文件。

Agent	所需条件
Microsoft 365 Copilot / Copilot Studio	暂停使用，直到重新发布此连接器：Copilot Studio 需要 HTTP 模式，而在此版本中，该模式会检查令牌，但尚未设置请求大小或时间限制。请参阅 mcp-install.md 中的安全说明。
Google Gemini	Gemini CLI 在本地运行，和 Claude Code 一样。Gemini app 在远程运行，需要使用与 ChatGPT 相同的暂停状态 HTTP 模式。请参阅 mcp-install.md。

原生支持 Skill 的 Agent（也已涵盖）： Hermes 和 OpenClaw 可直接读取此 Skill 的 SKILL.md，并且支持 MCP；请参阅下方的安装章节。也可通过 MCP 与 Cursor、Windsurf、Cline、Continue.dev 和 Zed 搭配使用。各工具的完整连接配置说明：docs/which-agent.md。

要运行多个 Agent？ 使用一条命令即可为所有 51+ 个受支持的 Agent 安装：npx skills add Servosity/msp-skills@latest（需要 Node.js，然后运行对应 Skill 的安装程序以安装 CLI/MCP 二进制文件）。请参阅 docs/which-agent.md。

60 秒内完成安装

Claude Desktop 最快捷的方式 — 一键安装 .mcpb

下载 Sophos Central MCP (.mcpb)，然后打开 Claude Desktop > Settings > Extensions 并选择该文件。一键完成，无需 JSON，也无需 shell。（可在发布页面浏览所有 Sophos Central 版本。）

更喜欢使用 Claude Code 插件？添加一次市场，然后安装即可；无需列出目录，立即生效：

/plugin marketplace add Servosity/msp-skills
/plugin install sophos-central@msp-skills

方式 A — 向 AI Agent 粘贴一条提示词（推荐）

将以下内容复制到 Claude Code、Codex CLI 或 Claude Cowork 中：

在此 Agent 工作区中，从 Servosity/msp-skills 安装 Sophos Central Skill 和 MCP 服务。如果此工作区使用 POSIX shell（macOS、Linux、WSL 或 Bash），请运行 bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/sophos-central/install.sh)。如果使用 Windows PowerShell，请运行 iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/sophos-central/install.ps1 | iex。然后按照 README 完成身份验证，并运行 sophos-central-cli --help 以了解用法。

任何能够运行 shell 的 Agent 都可以使用同一条提示词。

方式 B — 自行运行安装程序

Windows（PowerShell）：

iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/sophos-central/install.ps1 | iex

macOS / Linux：

bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/sophos-central/install.sh)

安装程序会将 sophos-central-cli（CLI）和 sophos-central-mcp（MCP 服务）都放入你的用户 bin 路径。Claude Code、Codex 和 Cowork 会通过此目录中的 SKILL.md 发现 Skill。

验证：

sophos-central-cli --version

升级到最新版本

安装程序始终获取当前版本；重新运行即可升级：

macOS / Linux：

bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/sophos-central/install.sh)

Windows（PowerShell）：

iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/sophos-central/install.ps1 | iex

Claude Desktop .mcpb 用户：下载最新的 .mcpb（见本节顶部），然后在 Settings > Extensions 中重新选择该文件。Claude Code 插件用户：/plugin update sophos-central@msp-skills。

添加到 Claude Desktop、GitHub Copilot、Gemini CLI、Microsoft 365 Copilot 或其他 MCP 客户端

运行安装程序后，请参阅 mcp-install.md 和 docs/which-agent.md，了解各 Agent 的连接配置说明；每个 Agent 均有独立章节，其中包括 GitHub Copilot 的 servers 键，以及远程 Microsoft 365 Copilot / Copilot Studio 的配置方式。Claude Desktop 的 Settings > Extensions 面板是最简单的方式；偏好编辑 JSON 的用户可在 mcp-install.md 中查看 MCP 配置块。

为 Hermes 安装

在 Hermes 命令行中：

hermes skills install servosity/msp-skills/skills/sophos-central --force

在 Hermes 聊天会话中：

/skills install servosity/msp-skills/skills/sophos-central --force

Hermes 原生支持 MCP，因此也可以直接使用 sophos-central-mcp 服务——安装路径和环境变量相同。

为 OpenClaw 安装

告诉你的 OpenClaw Agent（复制以下内容）：

从 https://github.com/servosity/msp-skills/tree/main/skills/sophos-central 安装 sophos-central 技能。该技能说明了如何通过 openclaw: frontmatter 块安装所需的 CLI（sophos-central-cli）。

OpenClaw 尚未普遍开放；frontmatter 配置已预先提供，将在 OpenClaw 启动时立即启用。

身份验证

设置 CLI 所需的凭据（从 Sophos Central 门户获取）：

SOPHOS_CENTRAL_CLIENT_ID=<value> SOPHOS_CENTRAL_CLIENT_SECRET=<value> sophos-central-cli doctor

请先在 Sophos Central 中创建凭据：合作伙伴可前往 Partner Dashboard > Settings & Policies > API Credentials，组织或单个客户可前往 Global Settings > API Credentials Management。doctor 会检查配置、路径和 API 连通性，然后使用你的凭据生成令牌，并报告 Sophos 是否接受该令牌。合作伙伴或组织凭据可通过 --tenant <tenant-id>（或 SOPHOS_CENTRAL_TENANT_ID）选择一个客户，以运行租户范围内的命令；fleet 命令则会遍历每个客户。

此技能的功能

MSP 经常提出的问题	命令
今天我所有客户中有哪些事项需要处理？	sophos-central-cli fleet triage
哪些客户的 Account Health Check 评分最低？自上次刷新以来，哪些客户的评分下降了？	sophos-central-cli fleet health --limit 10
每个客户分别有哪些安全和商业方面的缺口？	sophos-central-cli fleet gaps --kind all
所有客户中哪些机器关闭了篡改防护？	sophos-central-cli fleet tamper
无需查询这台机器所属的租户，就能将其隔离吗？	sophos-central-cli contain "WS-FIN-07" --scan --yes
每个客户上个月的账单是多少？与已部署的内容一致吗？	sophos-central-cli fleet revenue --month 2026-09
将每个客户的 SIEM 事件和警报传入我的日志管道	sophos-central-cli fleet siem-collect --stream both
将每个客户租户刷新到本地存储	sophos-central-cli fleet refresh
我正在使用哪个凭据？它属于合作伙伴、组织还是租户？	sophos-central-cli whoami

完整命令参考：guide.md。有关 AI Agent 操作约定（--agent、--dry-run，以及执行变更前何时需要确认），请参阅 AGENTS.md。

与众不同之处

大多数 Sophos Central 集成和 MCP 服务都会把每个问题转发为一次实时 API 调用。查询一条记录时，这样做没问题。但到了大规模场景就不行了，比如你想知道“我的 60 位客户中，哪些客户的设备关闭了篡改防护？哪些客户的健康评分比上周下降了？”

此技能会将 Sophos Central 同步到带有全文搜索功能的本地 SQLite 镜像中。汇总类问题只需执行一次本地 SQL 联接：响应即时、可离线使用，AI 看到的是答案，而不是原始数据。fleet triage、fleet gaps 和 fleet revenue 等复合命令可以联接不同租户的端点、警报、Account Health Check 评分、许可证和合作伙伴账单——无状态 API 封装器做不到这一点。

像 rijul170/sophos-central-mcp 这样的实时封装器会要求每次调用都提供租户 ID，并且每次只回答一个租户的问题。此连接器也会通过 whoami 识别调用者，并自动将每个租户调用路由到该租户所在区域的主机；但 fleet refresh 会先将每位客户的所有租户拉取到本地存储，并为每个租户记录成功、禁止访问或错误状态，因此缺失的客户会显示出来，而不会在答案中被悄然漏掉。它与 Sophos Central Partner Dashboard 相辅相成，而非取而代之：策略编写、调查以及 Sophos 自己的综合警报视图仍在控制面板中完成。

解决的痛点

Sophos Central 底层按租户隔离。Sophos 自己的合作伙伴入门指南详细介绍了每个 MSP 脚本都必须执行的流程：通过 whoami 获取合作伙伴 ID，分页遍历租户列表，然后使用 X-Tenant-ID 标头，调用每个租户自己的区域 API 主机。社区工具通常只支持一个租户——SophosCentral-Powershell 模块就写明“目前不支持多个租户”——因此每个 MSP 都要重复编写相同的流程，而要回答 Partner Dashboard 警报汇总背后的问题，仍然得一次深入查看一个客户。

• sophos-central-cli fleet triage - 汇总所有客户，生成一份按优先级排序的晨间工作队列。
• sophos-central-cli fleet tamper - 列出所有关闭篡改防护的设备，先预览，只有加上 --yes 才会重新开启。
• sophos-central-cli contain "WS-FIN-07" --scan - 事件处理中，无需知道租户即可按主机名查找设备并预览隔离操作；加上 --yes 即可隔离设备。
• sophos-central-cli fleet revenue - 并列显示每位客户的 Sophos 月度账单和实际部署情况。

更完整的说明请参阅 pain-point.md。

常见问题

这能与 ChatGPT 配合使用吗？

此版本不支持。ChatGPT（Plus、Pro、Team、Business、Enterprise 和 Education 计划；Free 计划目前尚不支持 Developer Mode）只能通过 HTTPS 连接到远程 MCP 服务，这意味着必须以 HTTP 模式运行 Sophos Central MCP 服务。在此版本中，HTTP 模式会检查令牌，但尚无请求大小或时间限制，因此在重新发布连接器之前，请勿运行它，也不要将它置于隧道之后。mcp-install.md 中的安全说明解释了原因。在此之前，请使用 Claude Desktop、Claude Code 或 Codex。

这能与 Codex、Cursor、Windsurf、Cline、Copilot 或 Gemini 配合使用吗？

可以——它们都支持 MCP。不同工具的安装命令见上方的矩阵，深入说明请参阅 docs/which-agent.md。

我需要会编程吗？

不需要。推荐的安装方式是在 Claude Code 或 Codex 中粘贴一句话——你的 Agent 会读取 SKILL.md 并完成安装。备用方式是在每种操作系统上运行一行安装命令（bash 或 PowerShell）。这两种方式都不需要编写代码。你只需输入一次 Sophos Central 凭据。

我的 Sophos Central 数据安全吗？

你的数据始终留在自己的机器上。CLI 和 MCP 服务是本地二进制文件。SQLite 镜像存放在你用户帐户下的目录中。AI Agent 只能看到 CLI 返回的内容——通常是查询结果，而不是原始批量数据。凭据从环境或 Agent 的配置中读取；MSP Skills 绝不会将凭据打包进此代码库或传输到任何地方。

我需要哪种 Sophos Central API 凭据？

在 Sophos Central 中创建的 API 凭据（服务主体）：合作伙伴可在 Partner Dashboard > Settings & Policies > API Credentials 中创建；组织或单个客户可在 Global Settings > API Credentials Management 中创建。设置 SOPHOS_CENTRAL_CLIENT_ID 和 SOPHOS_CENTRAL_CLIENT_SECRET。为其分配的角色才是真正的权限边界：Service Principal Read-Only 角色涵盖这里的所有报告，但无法运行 Live Discover 查询；隔离、扫描和篡改防护则需要允许这些操作的角色。

它支持合作伙伴、组织和单租户凭据吗？

支持。whoami 会告知 CLI 当前持有的凭据类型。合作伙伴或组织凭据会在 fleet 命令中遍历所有客户租户，并通过 --tenant（或 SOPHOS_CENTRAL_TENANT_ID）选择一个客户，以供 endpoints 或 alerts 等租户范围的命令使用。单租户凭据则可直接用于其自身租户。

这会触发 Sophos Central API 速率限制吗？

请求默认通过共享限流器发送，速率为每秒 1.5 个请求（--rate-limit），低于 Sophos 的限制。运行 fleet refresh --plan 会在执行前显示租户数量以及预计的请求次数和耗时。刷新后，fleet triage、fleet health 和 fleet gaps 会读取本地存储，不会调用 API。

为什么有些客户显示为禁止访问？

对于试用租户以及未获得 Partner Assistance 的正式客户，Sophos 会向合作伙伴返回 403。fleet refresh 会在按租户记录中记下这些客户并继续执行，而 fleet triage 会将其列为盲区租户，让你了解哪些数据未被读取。除非传入 --include-trial，否则会跳过试用租户。不带 --tenant 的完整刷新还会移除此前的 fleet 刷新为不再涵盖的租户存储的数据（已停止合作的租户，以及未设置 --include-trial 时的试用租户），因此 fleet 报告始终与最近一次完整刷新相符。

AI 能自行隔离计算机或重新开启篡改防护吗？

只有在你允许的情况下才能。contain 和 fleet tamper 会打印计划；没有 --yes 时不会进行任何更改，而且 MCP 服务不会传入 --yes，因此这两个工具通过 MCP 只能预览。但 MCP 服务的通用 sophos-central_execute 工具可以调用任意 Sophos Central 端点，但会排除六个会返回密码或令牌的端点；其中包括隔离、扫描和策略更改，而唯一的限制是 AI 应用的审批提示。如果 Agent 只能读取数据，请在 MCP 服务的环境中设置 SOPHOS_CENTRAL_MCP_READ_ONLY=1：它会拒绝所有非 GET 请求，并隐藏同步和导出工具。请保持审批提示开启，并为 API 凭据分配只读角色。

它涵盖 Sophos XDR 或 MDR Cases 和 Detections 吗？

此版本尚未涵盖。它涵盖 REST API：警报、端点、策略、排除项、Live Discover、XDR Data Lake 查询、SIEM 事件和警报、Account Health Check、许可证及合作伙伴账单。不包括 Cases 和 Detections。

它能取代 Sophos Central Partner Dashboard 吗？

不能。Partner Dashboard 仍最适合创建策略、开展调查和日常控制台工作。此工具可回答涉及所有客户的问题，并通过 AI Agent 运行脚本化操作。

使用费用是多少？

免费，采用 Apache-2.0 许可证。你只需为所使用的 AI Agent（Claude、ChatGPT、Codex 等）付费；费用由你的 AI 提供商收取，而不是由我们收取。

安全模型

层级	示例	建议的 Agent 策略
读取	fleet triage、fleet health、fleet gaps、fleet revenue、fleet refresh、whoami、tenants list、alerts list、endpoints list、search；contain 和不带 --yes 的 fleet tamper 仅预览	允许
终端响应	contain --yes、endpoints set-isolation、endpoints bulk-isolate、endpoints scan、endpoints collect-forensic-log、endpoints collect-memory-dump、live-discover run-query、fleet tamper --yes	人工参与，需明确确认——这些操作会触达客户的真实设备
防护与策略配置	exclusions add-scanning、allowed-items post-by-id、blocked-items post-by-id、policies update-policy、policies update-settings-of-policy、web-control update-web-decryption-excluded-sites、endpoint-groups add-multiple-endpoints-to-group	使用 --dry-run 预览，然后由人工批准写入——排除项或允许项可能造成安全漏洞
写入（常规）	alerts act-on、endpoint-tags、users create-tenant、health-check post-snooze、xdr start-query-run	使用 --dry-run 预览，然后经审核后写入
凭证与访问权限	endpoints get-tamper-protection、endpoints set-tamper-protection、migrations get-job（会返回篡改防护密码或迁移令牌；不会通过 MCP 服务提供）、auth login、partner-admins create、admins create-role-assignment	仅限人工参与
破坏性与商业操作	endpoints delete、endpoints bulk-delete、policies delete-policy、users delete-tenant-by-id、migrations create-sending-job、tenants create、tenants post-account-amendment	仅限人工参与，需明确确认

通过 MCP，通用的 sophos-central_execute 工具可以执行表中除 6 个会返回密码或令牌的操作以外的所有写入操作；对于只应读取数据的 Agent，请设置 SOPHOS_CENTRAL_MCP_READ_ONLY=1。最重要的控制措施是授予 Sophos Central 凭证的权限范围——CLI 只能执行凭证允许的操作。完整详情（包括如何限制权限）请参阅 governance.md。

状态

Beta 版。已根据 Sophos Central API 接口进行验证，目前正与在生产租户上运行该项目的 MSP 在每周的 Build Sessions 中共同验证。请通过 compoundingteams.com/build-sessions 回复。

---

标准。 符合开放的 Agent Skills 规范（Anthropic，2025 年 12 月；40 多个 Agent）。兼容 MCP——可与任何支持 MCP 的 Agent 配合使用，包括 Hermes。已为 OpenClaw 做好准备（frontmatter 已预先配置，等待 OpenClaw 发布）。

由 Servosity 维护。采用 Apache-2.0 许可证。使用 CLI Printing Press 构建。最后更新：2026-10-14。