DvalinCode MCP
Независимая проверка безопасности кода от людей и ИИ: сканирует, чинит и выдает запись об исправлении, проверяемую офлайн.
- 118 ★ репозитория
- Последний коммит
Расширенный доступ
Почему такой уровень
- Инструмент запускает тесты, сборку и сторонние сканеры в вашем проекте.
- Движок `snyk-code` загружает исходный код в Snyk, а режим исправления через исполнителя меняет файлы.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add mcp/dvalincodeОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Инструмент запускает тесты, сборку и сторонние сканеры в вашем проекте.
- Движок `snyk-code` загружает исходный код в Snyk, а режим исправления через исполнителя меняет файлы.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
DvalinCode сканирует проект встроенными правилами на инъекции, зашитые секреты, XSS, `eval` и небезопасные вызовы оболочки. Команда `npx dvalincode security scan .` работает без аккаунта, модели и ключа, код с машины не уходит. После исправления инструмент сам перезапускает сканирование и тесты проекта и читает коды возврата процессов, которые запустил. Итог записывается в Verified Fix Record, небольшой JSON, который проверяется командой `dvalin verify-fix` на компьютере без сети. Кто написал правку (Claude Code, Codex, Copilot или человек) фиксируется, но на вердикт не влияет. Как MCP-сервер он дает агенту инструменты `dvalin_scan`, `dvalin_verify_findings` и `dvalin_verify_fix`.
Для кого. Командам, где код пишут агенты и кому нужен независимый вердикт перед слиянием, а не слово самой модели.
Подходит, если
- Агент закрыл уязвимость, и нужно доказать, что находка исчезла, а новых не появилось.
- В пул-реквест подключают проверку, которая падает только на новых находках.
- Перед коммитом сканируют лишь то, что агент только что написал, через `diff: "uncommitted"`.
- Вердикт передают рецензенту в виде файла, который он перепроверит без доступа к вашим инструментам.
Не подходит, если
- Нужен общий ответ «код безопасен»: запись отражает только исчезнувшие находки и пройденные проверки.
- Исходный код нельзя отправлять внешним сервисам, а вы включаете `snyk-code`: он загружает код в Snyk.
- У проекта нет тестов, сборки или линтера: исправление без подтверждающих проверок не засчитывается.
Пример запроса к агенту
Просканируй незакоммиченные изменения, исправь найденные проблемы и попроси независимую проверку исправления.MCP
- Транспорт
- stdio
- Авторизация
- не нужна
Ограничения
Встроенные правила покрывают ограниченный набор классов уязвимостей, поэтому для серьезной проверки добавляют сторонние движки: Semgrep, Snyk или CodeQL. Они запускаются только по явному указанию, `snyk-code` загружает исходники в Snyk, а CodeQL строит базу минуты, и его лицензия покрывает открытый код и клиентов GitHub Advanced Security. Для Kotlin, C/C++ и Swift нужна сборка проекта, иначе скан помечается как частичный. VS Code-расширение собрано, но не опубликовано. Запись о исправлении подтверждает проверенное, а не безопасность всего кода.
Как отключить. Удалите сервер командой `claude mcp remove dvalin` и файлы, созданные `dvalin init`: `dvalin.security.json`, `.dvalin/baseline.json` и файл CI-проверки. Хук `pre-commit` уберите из `.pre-commit-config.yaml`.
Частые вопросы
Как поставить DvalinCode в Claude Code?
Выполните `claude mcp add dvalin -- npx -y dvalincode mcp-serve --workspace .`. Для Codex, Cursor и VS Code есть команды `npx dvalincode mcp-install codex`, `cursor` и `vscode`.
Что внутри Verified Fix Record?
Цели правки, оставшиеся находки, то, что добавила правка, порог проверки, команды с кодами возврата и полнота покрытия. Файл проверяется командой `dvalin verify-fix fix-record.json` офлайн.
Нужен ли ключ для первого сканирования?
Нет. `npx dvalincode security scan .` запускает встроенные правила без аккаунта, модели и конфигурации.
Какие движки сканирования можно добавить?
Semgrep, Snyk Code, Snyk OSS и CodeQL. Их включают явно, например `dvalin scan . --scanners builtin,codeql`, а `dvalin scanners list` показывает готовность.
Что делает команда `dvalin init`?
Пишет `dvalin.security.json` (отказ при новых находках уровня `high` и выше), записывает текущие находки в `.dvalin/baseline.json` и создает CI-проверку для GitHub или GitLab. Существующие файлы без `--force` не перезаписываются.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыСканер безопасности для кода от ИИ: секреты, зависимости, MCP и CI, расследование находок с доказательствами и исправления с подтверждением
Скилл для Claude Code и Codex, который находит в коде от ИИ типовые уязвимости и для каждой показывает исправление
Сканер безопасности для агентов: проверяет код, MCP-серверы, промпты и пакеты, выдуманные моделью, и ставит оценку от A до F.
Codex Security сканирует код, проверяет находки и исправления, сохраняет доказательства и экспортирует результаты для ревью и CI.
Сканер безопасности для MCP-серверов: ищет зашитые ключи, отравление инструментов и инъекции в коде репозитория.
CLI проверки безопасности ИИ: сканирует модели и код, пробует живые эндпоинты и MCP-серверы, разбирает записи работы агентов
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| DvalinCode (эта карточка) | нет | не нужна | 118 | |
| Semgrep | да | не нужна | 17 471 | статический анализатор правил; DvalinCode запускает его как один из движков и выпускает проверяемую запись об исправлении |
| agent-security-scanner-mcp | нет | не нужна | 123 | проверяет код, MCP-серверы и промпты с оценкой; здесь упор на независимое подтверждение исправлений |
Коротко о README
Dvalin ставят между генерацией кода и слиянием. Люди, агенты и CI обращаются к одному версионированному контракту поиска, исправления и проверки, а встроенный исполнитель правок вторичен.