Aletheore MCP
Сканер репозитория с MCP-сервером: граф зависимостей, секреты, уязвимости и карта API со ссылками на строки кода
- 650 ★ репозитория
- Последний коммит
- AGPL-3.0
Расширенный доступ
Почему такой уровень
- Сервер читает все исходники и историю git репозитория
- Инструмент секретов показывает агенту ключи, найденные в коде и в истории git
- Режим external отправляет улики репозитория в сторонний сервис, по умолчанию он выключен
Установка
- Работает в
Ручная установка
pipx install aletheoreНужен Python. Затем запустите aletheore scan . в корне репозитория, чтобы построить улики.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Сервер читает все исходники и историю git репозитория
- Инструмент секретов показывает агенту ключи, найденные в коде и в истории git
- Режим external отправляет улики репозитория в сторонний сервис, по умолчанию он выключен
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Aletheore — консольный сканер репозитория с MCP-сервером. Команда `aletheore scan` без LLM и без аккаунта разбирает код через Tree-sitter и пишет структурированные улики, то есть найденные факты о коде, в файл .aletheore/air.json. В него попадают граф зависимостей между модулями, владельцы файлов по истории git и карта API-маршрутов. Там же лежат секреты из рабочего дерева и истории, уязвимости и лицензии зависимостей по данным OSV.dev. Сканер понимает Python, JavaScript и TypeScript, Go, Rust, Java, Kotlin, Ruby, PHP, C, C++, C# и Swift. Команда `aletheore mcp` поднимает поверх этих данных stdio-сервер, который по умолчанию отдает агенту 36 инструментов. Они ищут символы, исходный код, импорты и обратные зависимости. Другие показывают владельцев, секреты, уязвимости, лицензии и маршруты, находят мертвый код и горячие точки. Есть полнотекстовый и семантический поиск и запуск пересканирования. После правок сервер сам пересканирует репозиторий в фоне, а `aletheore mcp-install` прописывает его в конфигурацию Claude Code, Cursor, VS Code, Kiro, Opencode и Codex CLI. Те же улики используют остальные команды. `aletheore audit` просит агента или API-провайдера написать отчет, в котором каждая ссылка на файл и строку сверяется с данными. `aletheore dashboard` открывает локальную панель с графами, а GitHub Action публикует в pull request разницу по секретам, уязвимостям и нарушениям слоев.
Для кого. Для разработчиков, которые разбираются в большом или незнакомом репозитории и хотят сверять выводы ИИ с кодом.
Подходит, если
- Агенту нужны связи между модулями, чтобы ответить, что сломается при правке файла, без чтения всего кода
- Перед релизом нужно найти секреты в рабочем дереве и в истории git и проверить зависимости на известные уязвимости
- В CI нужна разница по секретам и уязвимостям между веткой и базой в комментарии к pull request
- Хочется получить аудит репозитория, где каждое утверждение ИИ сверено со строкой кода
- Перед рефакторингом нужно найти мертвый код и горячие точки
Не подходит, если
- Вы работаете в компании: лицензия разрешает личное использование, а для организации нужна коммерческая лицензия
- Язык проекта вне списка поддерживаемых: для него граф зависимостей и карта маршрутов не строятся
- Репозиторий больше 5000 исходных файлов: фоновое пересканирование в MCP-сервере для него не запускается
- Нужно запускать audit в CI: команда рассчитана на ручной запуск, в CI идут только scan и diff
Пример запроса к агенту
Через Aletheore покажи, какие модули импортируют auth.py, и проверь, нет ли в зависимостях проекта известных уязвимостейMCP
- Транспорт
- stdio
- Авторизация
- не нужна
Переменные окружения
ALETHEORE_MCP_ALLOW- Разрешенные классы эффектов через запятую: read, write, network, external. Явное значение заменяет набор по умолчанию.
ALETHEORE_MCP_WATCH- Значение 0, false, no или off отключает фоновое пересканирование после правок файлов.
ALETHEORE_API_TOKENсекрет- Токен размещенного сервиса Aletheore для инструмента managed audit, который по умолчанию не регистрируется.
Ограничения
Лицензия PolyForm Noncommercial 1.0.0 не относится к открытым по определению OSI. По умолчанию сервер может писать в папку .aletheore и ходить в сеть за данными OSV.dev и реестров пакетов. Семантический поиск идет через локальную Ollama и без нее отвечает ошибкой о недоступном провайдере эмбеддингов. Команде `aletheore audit` нужен ключ провайдера или локальная модель. API OpenAI и Anthropic из России недоступны, локальная Ollama работает без внешнего доступа. Фоновое пересканирование легче полного: уязвимости, лицензии и историю git оно берет из последнего полного скана. Если CLI падает, он по умолчанию отправляет отчет об ошибке, эту отправку отключает одна команда. Платный GitHub App с проверкой pull request — отдельный размещенный сервис.
Как отключить. Удалите запись aletheore из конфигурации агента (`.mcp.json`, `.cursor/mcp.json`, `.vscode/mcp.json` или файла вашего агента), затем выполните `pipx uninstall aletheore`. Папка `.aletheore/` с результатами сканов останется в проекте, ее можно удалить вручную.
Частые вопросы
Как подключить Aletheore к Claude Code или Cursor?
Поставьте пакет командой `pipx install aletheore`, запустите `aletheore scan .`, затем `aletheore mcp-install .`. По умолчанию команда прописывает сервер во все поддерживаемые агенты, флаг `--target` сужает список. Запись добавляется рядом с уже настроенными серверами, их команда не трогает.
Нужны ли аккаунт и ключ API?
Для команд `aletheore scan`, `aletheore query` и `aletheore diff`, MCP-сервера и локальной панели не нужны ни аккаунт, ни ключ. Ключ провайдера или локальная модель нужны только команде `aletheore audit`. Сетевые запросы сканера к базам уязвимостей и реестрам тоже можно отключить для полностью автономной работы.
Как запустить MCP-сервер только на чтение?
Задайте переменную `ALETHEORE_MCP_ALLOW=read`. Переменная перечисляет разрешенные классы эффектов: кроме read есть write, network и external. Инструменты с запрещенными эффектами сервер не регистрирует вовсе, поэтому агент их не видит. В режиме только чтения остаются 32 инструмента.
Что дает профиль nav?
Команда `aletheore mcp --profile nav` запускает облегченный сервер из трех инструментов: `locate`, `symbol_source` и `search`. Их описание занимает около десятой части описания полного сервера. Экономия зависит от задачи: когда цель названа в запросе, обычный grep обходится так же дешево.
Можно ли использовать Aletheore в коммерческом проекте?
Только по отдельной лицензии. По PolyForm Noncommercial бесплатно использование физическими лицами для личных целей, исследований и оценки, а работа внутри компании считается коммерческой. Контакт для коммерческой лицензии указан в разделе о лицензии.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыMCP-Shield находит конфигурации MCP, подключается к серверам и ищет в описаниях инструментов скрытые команды, каналы утечки и подмену чужих инструментов
AgentShield проверяет папку .claude на ключи в открытом виде, широкие разрешения, опасные хуки и небезопасные MCP-серверы и ставит оценку от A до F
CLI-сканер безопасности для кода и ИИ-агентов: проверяет .claude, хуки, MCP-конфиги и SKILL.md до клонирования и ищет утекшие ключи
Статический анализ кода по правилам, похожим на сам код, со встроенным MCP-сервером для AI-агентов
MCP-сервер платформы ARL-Next: по домену, IP или адресу сайта возвращает порты, отпечатки, сертификаты, уязвимости и утечки из вашей базы активов
Набор для авторизованного багбаунти: 50 субагентов, 26 команд и 2 MCP-сервера площадок багбаунти для Claude Code, Codex и еще пяти агентов
Сравнение с похожими
Записи с тем же главным запросом: чем они отличаются.
| Запись | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| Aletheore (эта запись) | нет | не нужна | 650 | |
| GitNexus | нет | не нужна | 48 101 | строит граф кода через Tree-sitter и отдает агенту по MCP цепочки вызовов, радиус влияния правок и поиск |
| codebase-memory-mcp | нет | не нужна | 47 795 | строит граф кода: функции, классы, вызовы и HTTP-маршруты, и отвечает на структурные запросы агента локально |
Коротко о README
README начинается с примера запуска `aletheore scan`, потом объясняет, зачем выбирать инструмент, и перечисляет выпущенные возможности. Дальше идут разделы о платном GitHub App, раскладке папок репозитория и условиях лицензии. Полный справочник команд и список инструментов MCP лежат в src/README.md.