工具集

Semgrep 官方 MCP 服务器，已并入 semgrep 主仓库，通过 semgrep mcp 启动：让 agent 对代码做静态安全扫描、用自定义规则查找问题并查看语法树。需先安装 Semgrep CLI；接入 AppSec 平台需 SEMGREP_APP_TOKEN。

让 agent 在 IDA Pro 中反编译、反汇编、查交叉引用，并重命名变量、修改类型、添加注释，支持 idalib 无界面模式。需要 IDA Pro 8.3 以上（不支持 IDA Free）；作者现推荐改用 Hex-Rays 官方 IDA MCP。

把 nmap、sqlmap、nuclei 等 150 多种安全工具封装给 agent 调度，覆盖网络侦察、Web 渗透、二进制分析与 CTF。需先克隆仓库、自行安装各安全工具并启动本地服务，仅用于已授权的测试。

为 Ghidra 提供 250 多个 MCP 工具：反编译、交叉引用、数据流分析、批量重命名与注释、P-code 模拟和实时调试，支持无界面模式。需要 Java 21 与 Ghidra 12.1，并先构建、部署插件。

opengeos GeoAI 项目自带的 MCP 服务：用文字提示分割卫星影像里的建筑、道路、植被，检测车辆、船只等目标，对比前后影像找变化，估算树冠高度，并下载 NAIP、Sentinel-2、Landsat 影像。需克隆仓库在本机 Python 3.10+ 环境安装并设好输入输出目录，有 GPU 更快。

JADX 反编译器插件加配套 MCP 服务器，让 agent 读取 APK 的类、方法、Smali 与资源文件，辅助 Android 逆向分析与漏洞排查。需要安装 JADX-GUI 与 uv。

基于韩国法制处 Open API 检索韩国法令、判例、行政规则与自治法规，能核验引用的条文和判例是否真实存在、对比不同时间点的条文版本，适合处理涉韩法律事务。需免费申请法制处 API Key 并安装 Node.js；结果需律师复核。

x64dbg 的原生插件式 MCP 服务器，提供数十个调试工具，agent 可以下断点、单步执行、读写内存、分析 PE 结构，还能定位加壳程序的 OEP。仅支持 Windows，需要先把插件放进 x64dbg，再用令牌连接。

让 agent 驱动 WinDbg 的 CDB/KD 分析崩溃转储，也能做用户态远程调试和内核调试，还可以批量分诊多个 dump。仅支持 Windows，需要安装 WinDbg 或 Debugging Tools for Windows。

可自托管的开源合同与法律文档分析平台，自动识别文档里引用的法条并连成引用关系图，内置 MCP 服务让 agent 检索语料库、读取全文与标注、沿引用关系追溯。需先用 Docker 部署自己的实例，公开语料可匿名访问；分析结果需律师复核。

PortSwigger 官方 Burp Suite 扩展，让 agent 读取代理历史、发送 HTTP 请求、创建 Repeater 标签页，Pro 版还能读取扫描结果并调用 Collaborator。可从 BApp Store 安装，默认监听 127.0.0.1:9876。

把桌面 GIS 软件 QGIS 接给 Claude，用对话创建和保存工程、加载矢量与栅格图层、运行处理工具箱算法并导出地图，还能执行 PyQGIS 代码。需本机装 QGIS 3 和 uv，下载仓库并把插件复制进 QGIS 插件目录后点击启动服务。

在本机把 PDF、Word、PPT、Excel、EPUB、网页和图片转成干净的 Markdown，保留页码锚点、表格与双栏阅读顺序，并能跨文件夹全文搜索，便于核对合同、卷宗与论文原文。原名 pdf-reader-mcp；文件不上传、无需 API Key，本机需 Node.js 18+，扫描件 OCR 需另装 tesseract。

由 Kali 上的 API 服务和 MCP 桥接端两部分组成，agent 可以调用 nmap、sqlmap、Metasploit、Hydra 等工具，也能执行任意终端命令，用于授权渗透测试和 CTF。已收入 Kali 官方软件源。

Docling 项目官方 MCP：把 PDF、Word、PPT 等文件转成结构化文档，识别版面与表格、对扫描件做 OCR，也能让 agent 逐段生成新文档并导出 Markdown。本地模式需 Python 与 uv，首次运行会下载版面识别模型；也可改连自建的 Docling Serve 服务。

SonarSource 官方：连接 SonarQube Server 或 Cloud，让 agent 查询项目的代码质量问题、质量门禁、安全热点与依赖风险，还能直接分析文件代码。需要 SonarQube 令牌，推荐用 Docker 运行。

Google 官方安全 MCP 集合：接入 Google SecOps（Chronicle）、SecOps SOAR、Google 威胁情报（GTI）与 Security Command Center，用于告警调查、威胁狩猎、IOC 查询与云风险排查。需要 Google Cloud 凭据或 VirusTotal API Key。

把 Google 地图接给 agent：地点搜索与详情、地址与坐标互转（支持批量）、路线与距离矩阵、多点路线优化、天气和静态地图，另附行程规划与本地 SEO 排名分析技能。需要 Node.js 和已开通计费的 Google Maps Platform API Key，调用可能产生费用。

开源税务指南库的 MCP 服务：agent 回答所得税、增值税、薪资税问题时，引用覆盖 200 多个法域的最新指南并注明出处，部分指南由具名持证会计师审核。可直接连接托管地址，无需安装；结果仅供参考，报税前需会计师复核。

查询美国 SEC EDGAR 的 10-K、10-Q、8-K 公告、XBRL 财务报表和内部人交易，结果附原文链接便于核对，适合投资研究、财务分析与证券合规尽调。免费无需 API Key，需装 uv 并填写含姓名邮箱的 SEC_EDGAR_USER_AGENT；结论需专业人员复核。

在 QGIS 插件库安装 QGIS MCP 插件后，agent 可调用 125 个工具管理图层、编辑要素、运行处理算法、设置样式、制作版面与图集，并跨图层执行 SQL，兼容 QGIS 3.28 到 4.x。需本机装 QGIS 和 uv，不用下载仓库。

radare2 官方 MCP 服务器，用 C 基于原生 r2 API 实现。agent 可以打开二进制文件做反汇编、反编译和分析，支持只读模式、沙箱和连接远程 r2 会话。需要先装好 radare2，再用 r2pm 安装 r2mcp。

台湾法律远程 MCP，免费、免注册、免 API Key：语义检索 2,200 多万份台湾裁判书与行政函释，精确查询现行法条，判决附审级关联和引用白名单，便于核对引用是否真实。首次连接在浏览器完成授权；结果需律师复核。

用自然语言通过 Microsoft Graph 查询和管理 Microsoft 365 与 Azure 租户：建用户和安全组、查设备与条件访问策略、看云费用，适合企业 IT 管理员和兼管 IT 的行政。需有相应权限的微软工作账号，默认浏览器登录，修改会直接生效。