工具集

Semgrep 官方 MCP 服务器，已并入 semgrep 主仓库，通过 semgrep mcp 启动：让 agent 对代码做静态安全扫描、用自定义规则查找问题并查看语法树。需先安装 Semgrep CLI；接入 AppSec 平台需 SEMGREP_APP_TOKEN。

让 agent 在 IDA Pro 中反编译、反汇编、查交叉引用，并重命名变量、修改类型、添加注释，支持 idalib 无界面模式。需要 IDA Pro 8.3 以上（不支持 IDA Free）；作者现推荐改用 Hex-Rays 官方 IDA MCP。

把 nmap、sqlmap、nuclei 等 150 多种安全工具封装给 agent 调度，覆盖网络侦察、Web 渗透、二进制分析与 CTF。需先克隆仓库、自行安装各安全工具并启动本地服务，仅用于已授权的测试。

为 Ghidra 提供 250 多个 MCP 工具：反编译、交叉引用、数据流分析、批量重命名与注释、P-code 模拟和实时调试，支持无界面模式。需要 Java 21 与 Ghidra 12.1，并先构建、部署插件。

JADX 反编译器插件加配套 MCP 服务器，让 agent 读取 APK 的类、方法、Smali 与资源文件，辅助 Android 逆向分析与漏洞排查。需要安装 JADX-GUI 与 uv。

x64dbg 的原生插件式 MCP 服务器，提供数十个调试工具，agent 可以下断点、单步执行、读写内存、分析 PE 结构，还能定位加壳程序的 OEP。仅支持 Windows，需要先把插件放进 x64dbg，再用令牌连接。

让 agent 驱动 WinDbg 的 CDB/KD 分析崩溃转储，也能做用户态远程调试和内核调试，还可以批量分诊多个 dump。仅支持 Windows，需要安装 WinDbg 或 Debugging Tools for Windows。

PortSwigger 官方 Burp Suite 扩展，让 agent 读取代理历史、发送 HTTP 请求、创建 Repeater 标签页，Pro 版还能读取扫描结果并调用 Collaborator。可从 BApp Store 安装，默认监听 127.0.0.1:9876。

由 Kali 上的 API 服务和 MCP 桥接端两部分组成，agent 可以调用 nmap、sqlmap、Metasploit、Hydra 等工具，也能执行任意终端命令，用于授权渗透测试和 CTF。已收入 Kali 官方软件源。

SonarSource 官方：连接 SonarQube Server 或 Cloud，让 agent 查询项目的代码质量问题、质量门禁、安全热点与依赖风险，还能直接分析文件代码。需要 SonarQube 令牌，推荐用 Docker 运行。

Google 官方安全 MCP 集合：接入 Google SecOps（Chronicle）、SecOps SOAR、Google 威胁情报（GTI）与 Security Command Center，用于告警调查、威胁狩猎、IOC 查询与云风险排查。需要 Google Cloud 凭据或 VirusTotal API Key。

radare2 官方 MCP 服务器，用 C 基于原生 r2 API 实现。agent 可以打开二进制文件做反汇编、反编译和分析，支持只读模式、沙箱和连接远程 r2 会话。需要先装好 radare2，再用 r2pm 安装 r2mcp。

用自然语言通过 Microsoft Graph 查询和管理 Microsoft 365 与 Azure 租户：建用户和安全组、查设备与条件访问策略、看云费用，适合企业 IT 管理员和兼管 IT 的行政。需有相应权限的微软工作账号，默认浏览器登录，修改会直接生效。

HashiCorp 官方 MCP，让 agent 管理 Vault 挂载点、读写 KV 密钥，还能启用 PKI、创建签发者和角色并签发证书。需要可访问的 Vault 服务和令牌，官方建议只在本地可信环境中使用。

Trivy 的 MCP 插件，让 agent 用自然语言扫描本地项目、容器镜像和远程仓库里的漏洞与配置错误，可选对接 Aqua 平台检查策略合规。需要先安装 Trivy，由 Aqua Security 官方维护。

GitGuardian 官方 MCP，用 500 多种检测器扫描代码里泄露的密钥，agent 还能分诊和处理泄露事件、生成蜜罐令牌、提 PR 修复。需要 GitGuardian 账号，推荐用官方托管地址并通过 OAuth 登录。