Code Pathfinder MCP
SAST-сканер с межфайловым анализом потоков данных и MCP-сервером: агент видит вызовы, источники и стоки уязвимостей
- 143 ★ репозитория
- Последний коммит
Расширенный доступ
Почему такой уровень
- Сервер читает исходный код всего проекта и открывает его структуру агенту.
- Правила скачиваются из сети, а анонимная телеметрия MCP отключается флагом.
Установка
- Работает в
Ручная установка
brew install shivasurya/tap/pathfinderПервая команда установки из README. Есть также `pip install codepathfinder` и образ Docker.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Сервер читает исходный код всего проекта и открывает его структуру агенту.
- Правила скачиваются из сети, а анонимная телеметрия MCP отключается флагом.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Code Pathfinder строит граф вызовов проекта и прослеживает, как данные идут от источника к опасному месту через несколько файлов и функций. Разбор кода выполняет Tree-sitter, поддерживаются Python, Dockerfile и Docker Compose. Версия 2.0 находит, например, путь пользовательского ввода из обработчика HTTP в одном файле до SQL-запроса в другом. Команда `pathfinder scan --ruleset python/all --project .` запускает 190 готовых правил: 158 для Python (Django, Flask, AWS Lambda, JWT, десериализация, криптография), 37 для Docker и 10 для Docker Compose. Правила загружаются из CDN, а результат выводится текстом, JSON, SARIF для GitHub Code Scanning или CSV. Свои правила пишут на Python через SDK, указывая источники, стоки и очистители. Команда `pathfinder serve --project .` включает MCP-режим для Claude Code, Cursor, Cline и других агентов. Инструменты ищут символы и модули, показывают вызывающие и вызываемые функции, разбирают импорты, инструкции Dockerfile и сервисы Compose.
Для кого. Командам безопасности и разработчикам на Python, которым агент нужен для ревью кода с трассировкой данных и для проверки Dockerfile.
Подходит, если
- Ревью проекта на Django или Flask: надо найти SQL-инъекцию, где ввод проходит через несколько файлов.
- CI падает при критичных находках, а отчет уходит в GitHub Code Scanning в формате SARIF.
- Агент с помощью графа вызовов выясняет, кто использует функцию и что она вызывает.
- Проверяют Dockerfile и Compose на запуск от root, открытый сокет и привилегированный режим.
- Команда пишет собственное правило по источникам и стокам своего кода.
Не подходит, если
- Проект на JavaScript, Go или Java: готовые правила и разбор покрывают Python и контейнерные файлы.
- Нужен полный пентест: статический анализ не заменяет проверку работающей системы.
- Сканировать нужно чужой код без разрешения владельца.
Пример запроса к агенту
Просканируй проект набором python/all, затем покажи путь пользовательского ввода до SQL-запроса и объясни, как его закрыть.MCP
- Транспорт
- stdio, http
- Авторизация
- не нужна
Ограничения
Анализ потоков данных работает для Python, Dockerfile и Docker Compose, а список правил ограничен этими языками. Правила скачиваются из CDN при первом запуске, поэтому нужен доступ в сеть. В коде MCP-сервера есть анонимная телеметрия, отключаемая флагом `--disable-metrics`. Последний коммит в основной ветке сделан в мае 2026 года. Статический анализ дает ложные срабатывания и пропуски, поэтому находки проверяют человек или агент в контексте проекта. По умолчанию MCP работает по stdio, режим HTTP включается флагом `--http`.
Как отключить. Уберите запись `pathfinder` из настроек MCP-клиента и остановите процесс `pathfinder serve`. Сам сканер удаляется командой `brew uninstall pathfinder` или `pip uninstall codepathfinder`.
Частые вопросы
Как запустить сканирование проекта?
Выполните `pathfinder scan --ruleset python/all --project .`. Ключи и облачные аккаунты не нужны, правила скачиваются автоматически. Для Dockerfile возьмите набор `docker/all`.
Как подключить Code Pathfinder как MCP?
Команда `pathfinder serve --project .` запускает сервер для выбранного проекта. Запись в настройках клиента подбирают по руководству на codepathfinder.dev/mcp.
Какие форматы отчета есть?
Текст, JSON, SARIF и CSV. Файл задают флагами `--output` и `--output-file`, например `--output sarif --output-file results.sarif`.
Как остановить CI при критичных находках?
Добавьте флаг `--fail-on=critical,high` к команде сканирования.
Как написать собственное правило?
Правила пишут на Python через PathFinder SDK: указывают источники, стоки, очистители и область анализа. Запуск командой `pathfinder scan --rules ./my_rules/ --project .`. SDK ставится командой `pip install codepathfinder`.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыСтатический сканер уязвимостей в коде ИИ-агентов и конфигурациях MCP с 66 правилами по OWASP Agentic Top 10
Сканер безопасности для агентов: проверяет код, MCP-серверы, промпты и пакеты, выдуманные моделью, и ставит оценку от A до F.
Локальная панель для Claude Code, Codex CLI и OpenCode: что грузит агент, сколько это токенов, и проверка MCP-серверов
Prowler — плагин для Claude Code
Prowler for Claude Code
Плагин ведет облачный аккаунт к соответствию CIS, PCI-DSS и другим стандартам: берет отчет Prowler Cloud, чинит нарушения и предлагает повторный скан
Сканер ищет в конфигах MCP у Claude Desktop, Cursor и VS Code утекшие ключи, опасные доступы и подключенные модели.
CLI проверки безопасности ИИ: сканирует модели и код, пробует живые эндпоинты и MCP-серверы, разбирает записи работы агентов
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| Code Pathfinder (эта карточка) | нет | не нужна | 143 | |
| Semgrep Skills | да | 340 | скиллы для запуска Semgrep со своими правилами; Code Pathfinder сам строит граф вызовов и ведет данные между файлами | |
| CodeGraph | нет | не нужна | 76 797 | общий граф кода для навигации агента; Code Pathfinder сфокусирован на безопасности и находит пути данных к стокам |
Коротко о README
Установка идет через Homebrew, pip, Docker или готовые бинарные файлы для Linux, macOS и Windows. Есть GitHub Action для сканирования pull request и реестр правил на сайте проекта с примерами и тестами.