Deptrust: Ekosistemler Arasında Güvenlik Açığı Kontrolü için AI Ajan Aracı
Clidey tarafından geliştirilen Deptrust, AI ajanlarının ve geliştiricilerin savunmasız paket sürümlerinden kaçınmalarına yardımcı olmak için tasarlanmış bir MCP sunucusudur. Kamu paket kayıtlarına, OSV API'lerine ve GitHub Danışmanlık Veritabanı'na doğrudan bağlanır. Bu araç, npm, PyPI ve Go modülleri gibi çeşitli ekosistemlerde bilinen güvenlik açıklarını kontrol eder. Deptrust, yükleme veya öneri öncesinde bağımlılıkları doğrulayarak AI destekli geliştirme uygulamalarının güvenliği sürdürmesini sağlar. HTTP taşımayı destekleyen bir MCP sunucusu olarak çalışır ve kod güvenliğini artırmak için Claude ve Codex gibi AI istemcileriyle entegre olur.
Deptrust neye bağlanır?
Deptrust, doğrudan kamu paket kayıtlarına ve OSV API'lerine, ayrıca GitHub Danışmanlık Veritabanı'na bağlanır. Birçok paket ekosisteminde bilinen güvenlik açıklarını kontrol eder. Bunlar arasında npm, PyPI, crates.io, Go modülleri, RubyGems, NuGet, Maven, Packagist, pub.dev, CocoaPods, Hex.pm, Hackage ve GitHub Actions bulunmaktadır. Deptrust, bağımlılık güvenliği analizi için geniş bir erişim sağlayarak mcp-sunucuları ve AI & ML kategorileri içinde çalışır.
Temel özellikler ve araçlar
Deptrust, bağımlılık analizi için belirli çağrılabilir araçlar sunar. check_package aracı, bir paket sürümünü doğrular, bilinen güvenlik açıklarını raporlar ve bir öneri sağlar. Ayrıca, suggest_safe_version aracı en yeni güvenli sürümü belirler. Bunu, en son mevcut sürümü kontrol ederek, ardından sağlayıcı tarafından bildirilen düzeltme sürümlerini ve nihayet eski bilinen sürümleri kontrol ederek gerçekleştirir ve nihayetinde "allow" önerisi ile bir sürüm önerir.
Kimler için?
Deptrust, kodlama için AI kullanan AI ajanları ve geliştiricilere yöneliktir; özellikle AI ajanlarının eski veya güvenlik açığı olan paket sürümlerini önermesi sorununu ele almak için tasarlanmıştır. Tasarımı, güvenlik için bağımlılık sürümlerini doğrulaması gereken AI ajanlarını destekler. Claude ve Codex gibi AI istemcileri ile uyumludur. Bu araç, AI destekli geliştirme iş akışlarına güvenlik kontrolleri entegre edenler içindir. Eğer bağımlılık yönetimi veya kodlama yardımı için AI ajanları kullanmıyorsanız bunu atlayın.
Nasıl başlanır
Sunucu, bir ortam değişkeni olarak geçirilen bir API anahtarı kullanarak kimlik doğrulaması yapar. GitHub API kimlik doğrulaması için DEPTRUST_GITHUB_TOKEN'ı yapılandırın, GITHUB_TOKEN ve GH_TOKEN yedek olarak kullanılabilir.
Kullanım durumları
- Bir AI ajanı bir bağımlılık sürümünü yüklemeden veya önermeden önce bilinen güvenlik açıklarının olup olmadığını doğrulamak.
- Tüm bağımlılık sürümlerini inceleyerek "neyi güncelleyebilirim" veya "hangi bağımlılıklar güncellemeye güvenli" gibi soruları yanıtlamak için önerilerde bulunmadan önce.
- AI ajanlarının belirli paket sürümlerini listelemeden, karşılaştırmadan veya önermeden önce Deptrust ile paket sürümlerini kontrol ettiğinden emin olmak.
Deptrust, birçok ekosistem boyunca paket zayıflıklarını kontrol ederek AI destekli geliştirmeyi güvence altına almak için kritik bir hizmet sunmaktadır. Bağımlılık güvenliğini sağlamak için check_package ve suggest_safe_version gibi araçlar sağlar. Sunucu, HTTP'yi destekleyen MCP üzerinde çalışır ve çeşitli AI istemcileri ile entegre olur. Kimlik doğrulama, ortam değişkenleri aracılığıyla yapılandırılabilen GitHub API jetonlarına dayanır ve kimlik doğrulama gerektirmeyen bir seçenek mevcuttur. Hızlı güvenlik bilgilerini görmek için check_package aracını kullanarak bir bağımlılık sürümünü doğrulamayı deneyin.
