Semgrep CLI
Статический анализ кода по правилам, похожим на сам код, со встроенным MCP-сервером для AI-агентов
- 17 325 ★ репозитория
- Последний коммит
- LGPL-2.1
Расширенный доступ
Почему такой уровень
- Читает весь код проекта
- При входе в платформу результаты уходят в облако Semgrep
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add cli/semgrepОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Читает весь код проекта
- При входе в платформу результаты уходят в облако Semgrep
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Semgrep ищет в коде ошибки, уязвимости и нарушения стандартов по правилам, которые записываются шаблонами на языке самого проекта. Поддерживает более 30 языков и работает локально, по умолчанию код никуда не загружается. Команда semgrep mcp поднимает MCP-сервер через stdio или streamable HTTP, чтобы агент сам запускал проверки и писал правила. Для Claude Code и Cursor есть плагин с хуками и скиллами, который проверяет сгенерированный агентом код.
Для кого. Для разработчиков и специалистов по безопасности, которые хотят проверять код агента статическим анализом.
Подходит, если
- Нужно, чтобы агент проверял свой код на уязвимости перед коммитом
- Нужны свои правила под стандарты проекта
- Нужна проверка в CI или pre-commit
Не подходит, если
- Нужен межфайловый анализ потоков данных, а платформа Semgrep недоступна
- Нужна проверка поведения в рантайме, а не исходников
Пример запроса к агенту
Проверь изменения в этой ветке через Semgrep и исправь найденные уязвимостиОграничения
Community Edition анализирует только в пределах одной функции или файла и пропускает часть уязвимостей. Pro-правила, анализ зависимостей и секретов требуют входа в Semgrep AppSec Platform, для MCP это переменная SEMGREP_APP_TOKEN. Правила из реестра отправляют псевдонимные метрики, отключаются флагом --metrics=off. Доступность облачной платформы из России не проверена, локальный анализ работает без нее.
Как отключить. Удалите сервер semgrep из конфигурации MCP или плагин через /plugin, сам CLI удаляется через brew uninstall semgrep или pip uninstall semgrep.
Частые вопросы
Отдельный репозиторий semgrep/mcp еще нужен?
Нет, MCP-сервер теперь встроен в основной CLI и запускается командой semgrep mcp.
Отправляется ли код на сервер?
По README анализ идет локально и код по умолчанию не загружается.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыCLI-сканер безопасности для кода и ИИ-агентов: проверяет .claude, хуки, MCP-конфиги и SKILL.md до клонирования и ищет утекшие ключи
Сканер репозитория с MCP-сервером: граф зависимостей, секреты, уязвимости и карта API со ссылками на строки кода
Сканер безопасности для скиллов и MCP агентов: ищет промпт-инъекции, утечки данных и риски цепочки поставок до установки
Набор для авторизованного багбаунти: 50 субагентов, 26 команд и 2 MCP-сервера площадок багбаунти для Claude Code, Codex и еще пяти агентов
AgentShield проверяет папку .claude на ключи в открытом виде, широкие разрешения, опасные хуки и небезопасные MCP-серверы и ставит оценку от A до F
CLI от Snyk, который находит на машине установленные MCP-серверы, скиллы и агентов и проверяет их на промпт-инъекции и вредоносные payload
Коротко о README
README объясняет идею семантического поиска по коду и различия между открытой версией и платформой AppSec. Описана установка через Homebrew, pip и Docker, команды semgrep login и semgrep ci. Отдельный документ про MCP-сервер описывает транспорты, подключение к Claude Code, Cursor, VS Code, Windsurf и Kiro. Лицензия LGPL-2.1.