code-risk-agent

🔒 CodeRisk Agent — 代码安全审计 Skill

脚本文件清单

本 Skill 包含以下脚本文件，由 package.json 中的 MCP server 配置自动调用：

触发条件（匹配任意一条即触发）

执行方式

只调用 1 个 Tool：coderisk_scan_code

参数构造规则：

• target_path: 用户提供的路径（必须是绝对路径）
• enable_ai: 默认 false（纯本地静态分析）。用户主动传 true 开启 AI 语义分析（需配置 API key，代码会发送至云端 LLM）
• enable_semgrep: 默认 true
• scan_dependencies: 如果路径是目录，默认 true
• output_format: 必须传 "json"，便于你解析后渲染为 Markdown

如需单独查询 CVE 信息，调用 coderisk_lookup_cve（参数：cwe_id, max_results）。

SSE 模式安全说明

mcp-server/server.py 支持 --sse 参数启用 SSE 传输模式，仅供本地调试使用：

• 强制绑定 127.0.0.1，拒绝任何非回环地址
• 必须配置环境变量 CODERISK_SSE_API_KEY（强随机字符串），否则拒绝启动
• 所有 SSE 请求必须在 HTTP Header 中携带 Authorization: Bearer
• Starlette 运行在生产模式（debug=False），不泄露堆栈/路径信息
• 生产环境请使用 stdio 模式（默认）

结果解读规范

Tool 返回的是完整 JSON 报告，你必须按以下结构向用户展示：

1. 执行摘要（必须展示）

📊 CodeRisk 安全扫描结果
━━━━━━━━━━━━━━━━━━━━━━━━━━━━
文件数: {files_analyzed}
总风险: {total_risks}
耗时: {analysis_time_ms}ms
模型: {model_used}

严重级别分布:
🔴 Critical: {risk_breakdown.critical}
🟠 High: {risk_breakdown.high}
🟡 Medium: {risk_breakdown.medium}
🔵 Low: {risk_breakdown.low}
⚪ Info: {risk_breakdown.info}

2. 关键风险详情（Critical / High 必须逐条展示）

对每一条 Critical / High 风险，展示：

• 风险 ID: {id}
• 严重级别: 🔴 Critical / 🟠 High
• CWE: {cwe} + 链接 https://cwe.mitre.org/data/definitions/{num}.html
• 文件: {file} 第 {line_start} 行
• 描述: {description}
• 修复建议: {suggestion}
• 证据来源: {evidence[].source}（pattern_match / semgrep / ai / taint_analysis / dependency_scan）

3. 如果有 CVE 关联

调用 coderisk_lookup_cve 查询该 CWE 的 CVE 信息，补充展示：

🔗 关联 CVE:
- CVE-2024-XXXX (High, CVSS 8.1): ...

4. 报告文件

如果用户要求保存报告，告知：

• JSON 报告已保存（如果配置了输出目录）
• 可重新调用生成 SARIF / Markdown 格式

降级策略

约束

• 语言支持: 仅 C (.c/.h) 和 Python (.py)
• 隐私: 默认使用云端 LLM API，代码内容会发送到 API 提供商。如需完全本地，指导用户配置 CODERISK_LLM_BACKEND=local + ROCm GPU
• API 费用: 语义分析阶段会消耗 token，大文件可能产生较高费用

示例对话

用户: "扫描 ./src/ 的安全问题" → 调用 coderisk_scan_code(target_path="/abs/path/to/src", output_format="json") → 解析 JSON，渲染为上述 Markdown 格式 → 展示摘要 + Critical/High 详情 + 修复建议

用户: "这个项目的依赖安全吗" → 同上，但重点展示 source="dependency_scan" 的风险

用户: "CWE-120 有什么已知的 CVE" → 调用 coderisk_lookup_cve(cwe_id="CWE-120") → 展示 CVE 列表