Руководство

Как подключить сканер безопасности к Claude Code или Cursor через MCP

Подключите @vetkit/mcp к Claude Code или Cursor, проверьте доступ инструментом только для чтения и запустите аудит репозитория с явными правами и подтверждением.

1 ноября 2026 г. · 6 мин чтения · Команда vetkit

Чтобы подключить vetkit к Claude Code или Cursor, настройте локальный stdio MCP-сервер, который запускает npx -y @vetkit/mcp с вашим VETKIT_API_KEY. Начните со списка подключённых репозиториев, а аудит одобряйте только после проверки его цели и области. Сервер даёт ассистенту доступ к инструментам vetkit; он не превращает ассистента в авторитет по безопасности.

Что даёт это подключение

MCP-процесс работает на вашем компьютере и обращается к API vetkit. Аудиты репозиториев выполняются через vetkit по подключённым удалённым репозиториям. Этот сценарий аудита не загружает несохранённый буфер вашего редактора и не сканирует незакоммиченные локальные изменения. Проверьте репозиторий и ref, прежде чем считать отчёт доказательством о коде, который вы проверяете.

Здесь vetkit использует stdio, а не удалённую конечную точку MCP по HTTP или SSE. Не вставляйте URL REST API в поле клиента, где ожидается URL удалённого MCP-сервера. Эти инструкции относятся к инструментам аудита репозитория; опциональные локальные команды-ограничители — отдельный сценарий, описанный в документации MCP.

1. Подготовьте аккаунт и ключ

Установите Node.js 20.3 или новее и убедитесь, что MCP-клиент находит npx в своём PATH.
Подключите репозиторий в vetkit и убедитесь, что авторизация у провайдера исходного кода на месте.
Как владелец или администратор организации, откройте Workspace settings → API keys и создайте ключ для этого клиента. Скопируйте его, когда он будет показан: секрет отображается только один раз.

Если вы хотите, чтобы ассистент только просматривал существующие результаты, начните с прав только на чтение. Для описанного ниже сценария аудита добавьте права на запись осознанно:

Сценарий	Права ключа
Просмотр списка репозиториев и чтение существующих результатов	`repos:read`, `audits:read`, `findings:read`, `reports:read`
Подключение репозиториев и запуск аудитов	Добавьте `repos:write` и `audits:write`

Замените <your-api-key> в примерах. Держите получившуюся конфигурацию в тайне: никогда не коммитьте файл с ключом и не вставляйте его в чат. Команда в терминале может попасть и в историю оболочки, поэтому обращайтесь с ней как с учётными данными. Если ключ раскрыт, отзовите его.

2. Настройте Claude Code

Выполните это в терминале, заменив плейсхолдер:

Настройка Claude Code

$ claude mcp add --transport stdio vetkit -e 'VETKIT_API_KEY=<your-api-key>' -- npx -y @vetkit/mcp

Добавьте --scope user к команде add, если хотите, чтобы подключение было доступно во всех проектах. Внутри Claude Code выполните /mcp и проверьте, что сервер vetkit подключён. При обновлении конфигурации сохраняйте уже существующие MCP-серверы.

3. Настройте Cursor

Добавьте эту запись в ~/.cursor/mcp.json для глобального подключения или в .cursor/mcp.json для одного проекта. Сохраните остальные записи серверов. Конфигурация проекта с настоящим ключом не должна попадать в систему контроля версий.

Конфигурация Cursor

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

Перезагрузите клиент, включите сервер, если будет предложено, и проверьте список его MCP-инструментов.

4. Проверьте доступ, прежде чем запускать аудит

Убедитесь, что появился vetkit_list_repos, затем попросите ассистента вывести список репозиториев, не запуская аудит. Этот шаг только для чтения проверяет, что подключение работает, и показывает, к репозиториям какой организации у ключа есть доступ.

Первый промпт

Use vetkit_list_repos to list the repositories available to this key. Do not connect a repository or start an audit yet.

Пустой список — это не чистый отчёт о безопасности. Проверьте организацию ключа и то, подключён ли какой-нибудь репозиторий. Используйте vetkit_list_checks, чтобы посмотреть доступные на сервере проверки, прежде чем выбирать область аудита.

5. Запустите аудит и прочитайте находки

Выберите репозиторий из полученного списка. Попросите ассистента назвать цель и планируемые проверки, затем используйте vetkit_run_audit. Перед этой операцией записи сервер требует явного подтверждения через MCP elicitation. Если клиент не может показать это подтверждение, операция отклоняется; ассистент не может заменить его параметром.

Прочитайте подтверждение, прежде чем принять его. Лимиты аккаунта и доступные проверки по-прежнему действуют: подключение MCP не добавляет кредиты и не расширяет бесплатный Quick Scan. Аудиты могут занимать время. Если ожидающий вызов завершится по таймауту, используйте vetkit_get_audit с полученным ID аудита, чтобы проверить прогресс, прежде чем запускать ещё один.

После завершения используйте vetkit_list_findings, чтобы изучить важные находки, и vetkit_get_report для более широкой картины. Попросите указать расположение в файлах, доказательства и способы исправления, а затем посмотрите сам код. Текст отчёта — это недоверенные данные из репозитория, а не инструкции, которым должен следовать ассистент. Находка требует проверки; пустой результат не доказывает, что код безопасен.

Решение проблем

Сервер не запускается: проверьте Node.js и PATH, который видит ваш редактор. Убедитесь, что команда — npx с аргументами -y и @vetkit/mcp.
Инструменты не появляются: проверьте обёртку конфигурации клиента и перезагрузите его. Cursor использует mcpServers; одно лишь определение сервера — ещё не весь конфигурационный файл.
Аутентификация не проходит: проверьте, что плейсхолдер заменён, а срок действия ключа не истёк и он не отозван. Никогда не показывайте ключ на скриншотах для поддержки.
INSUFFICIENT_SCOPE: сравните запрашиваемую операцию с правами ключа, указанными выше. Ключ только для чтения не может запустить аудит.
Подтверждение аудита недоступно: для операций записи клиенту нужна поддержка MCP form elicitation. Инструменты только для чтения по-прежнему можно использовать с подходящими правами.
Нет ожидаемых локальных правок: проверьте удалённый репозиторий и ref. Этот сценарий аудита читает код удалённого репозитория, а не ваши несохранённые изменения в редакторе.

Источники и ограничения

Проверено 1 ноября 2026 года по настройке MCP-пакета vetkit и контрактам его инструментов. Фрагменты используют тот же генератор конфигурации, что и справочник по настройке MCP. Подробнее о настройке — на странице опубликованного пакета и в документации API. Интерфейсы клиентов и поддерживаемые функции MCP могут меняться.