Semgrep MCP Server

¿Qué es el Servidor Semgrep MCP?

El Servidor Semgrep MCP es un servidor MCP dedicado que expone las herramientas de análisis estático de Semgrep como acciones (herramientas) llamables accesibles a LLMs, agentes y aplicaciones que soportan el estándar MCP. Permite un escaneo, comprensión y gestión de reglas de seguridad del código de manera automatizada y sin problemas directamente desde entornos como IDEs (Cursor, VS Code), chatbots (ChatGPT) y frameworks de agentes.

Cómo Configurar el Servidor Semgrep MCP

Instalar el paquete de Python:
Usa pipx o tu herramienta de Python preferida:
pipx install semgrep-mcp
Configurar el servidor:
Ejecutar a través de CLI usando uvx semgrep-mcp o como un contenedor de Docker:
docker run -i --rm ghcr.io/semgrep/mcp -t stdio
Integrar con tu entorno:
- Para IDEs como Cursor o VS Code, edita el archivo de configuración de MCP (por ejemplo, .cursor/mcp.json, .vscode/mcp.json) agregando
```
{
  "mcpServers": {
    "semgrep": {
      "command": "uvx",
      "args": ["semgrep-mcp"]
    }
  }
}
```
- Para conexiones alojadas (en la nube), establece la URL del Servidor MCP en https://mcp.semgrep.ai/mcp o usa SSE en https://mcp.semgrep.ai/sse para compatibilidad hacia atrás.
- Integración con la Plataforma AppSec:
  Genera un token API de Semgrep AppSec, luego agrégalo como una variable de entorno:
  export SEMGREP_APP_TOKEN=<token>
  Para Docker, agrégalo con -e SEMGREP_APP_TOKEN=<token>.

Cómo Usar el Servidor Semgrep MCP

Inicia el servidor usando tu transporte preferido (stdio, http transmisible o SSE).
Conéctate a través de tu IDE o framework de LLM que soporte MCP, asegurándote de que esté configurado para llegar a tu instancia de servidor local o remota.
Invoca herramientas como el escaneo de código o la generación de AST directamente desde la interfaz conectada (por ejemplo, pregunta a tu LLM: “Escanea este código en busca de vulnerabilidades de seguridad usando Semgrep”).
Recibe resultados prácticos: LLMs, agentes y usuarios reciben resultados detallados sobre problemas de código, hallazgos o ideas, integrados sin problemas en tu flujo de trabajo de desarrollo.

Características Clave

Escaneo instantáneo de vulnerabilidades de código usando Semgrep directamente desde LLMs o herramientas.
Múltiples opciones de despliegue: CLI local, Docker y puntos finales alojados en la nube.
Amplia integración: Conexión con IDEs (Cursor, VS Code, Claude Desktop), chatbots (ChatGPT) y SDKs de agentes.
Descubrimiento y ejecución de herramientas: Lista y llama a las herramientas de Semgrep dinámicamente a través de puntos finales MCP.
Acceso a información del código: Extrae árboles de sintaxis abstractos, listas de lenguajes soportados y esquemas de reglas.
Uso de reglas personalizadas: Analiza código con reglas Semgrep personalizadas para casos de uso avanzados.
Autenticación segura e integración con la plataforma AppSec para entornos empresariales gestionados.

Casos de Uso

Revisión automatizada de código: Incorpora escaneo Semgrep en tiempo real en agentes de IA que participan en la revisión de solicitudes de extracción, generación de código o sugerencias en IDEs.
Automatización de auditoría de seguridad: Permite flujos de trabajo de seguridad donde LLMs/agents escanean archivos de proyectos automáticamente o bajo demanda en busca de vulnerabilidades.
Redacción de reglas aumentada por LLM: Aprovecha los LLMs para ayudar a redactar, validar y aplicar reglas Semgrep personalizadas a bases de código.
Aumento del pipeline DevSecOps: Agrega escaneos Semgrep impulsados por MCP a entornos CI/CD o de desarrollo para retroalimentación inmediata y práctica.
Aprendizaje interactivo y explicación: Usa el árbol de sintaxis abstracto y herramientas de sugerencias para enseñar o explicar la semántica del código dentro de herramientas educativas o chatbots.

Preguntas Frecuentes

P1: ¿Qué lenguajes de programación soporta el Servidor Semgrep MCP?
El servidor soporta todos los lenguajes disponibles en Semgrep upstream, como Python, JavaScript, Go, Java y más. Usa la herramienta supported_languages para obtener una lista actual.

P2: ¿Puedo usar el Servidor Semgrep MCP sin una cuenta o token en la nube?
Sí, las herramientas de escaneo y comprensión de código básicas funcionan localmente sin autenticación. Para funciones avanzadas vinculadas a la Plataforma AppSec de Semgrep (como hallazgos en la nube), se requiere un token API.

P3: ¿Qué protocolos de comunicación son compatibles?
El Servidor Semgrep MCP soporta stdio (para CLI/local), HTTP transmisible (recomendado para nuevas integraciones) y Eventos Enviados por el Servidor (compatibilidad heredada).

P4: ¿Cómo conecto el Servidor Semgrep MCP a ChatGPT o VS Code?
Establece la URL del servidor MCP en la configuración de tu conector o editor (por ejemplo, https://mcp.semgrep.ai/sse para ChatGPT, o actualiza .vscode/mcp.json para VS Code).

P5: ¿Pueden los LLMs crear y usar reglas Semgrep personalizadas automáticamente?
Sí, usando las herramientas proporcionadas como semgrep_scan_with_custom_rule y generadores de sugerencias, los LLMs/agentes pueden escribir y aplicar nuevas reglas dinámicamente.

Nombre del Protocolo	Descripción
security_check	Escanea el código en busca de vulnerabilidades de seguridad usando las reglas predefinidas de Semgrep, proporcionando diagnósticos y recomendaciones para los problemas encontrados en el código o archivos enviados.
semgrep_scan	Ejecuta un escaneo Semgrep en los archivos de código proporcionados con una cadena de configuración especificada por el usuario; soporta análisis detallado y personalizable en múltiples archivos o fragmentos de código.
semgrep_scan_with_custom_rule	Ejecuta Semgrep con reglas personalizadas definidas por el usuario, permitiendo la detección flexible de seguridad o patrones adaptados a las necesidades específicas del proyecto.
get_abstract_syntax_tree	Devuelve el Árbol de Sintaxis Abstracta (AST) para el código enviado, facilitando un análisis estructural más profundo del código, comprensión e interpretación mediante LLM.
semgrep_findings	Obtiene hallazgos de la Plataforma AppSec de Semgrep a través de la API de la plataforma; requiere autenticación y soporta la presentación de resultados de escaneos basados en la nube.
supported_languages	Devuelve la lista actual de lenguajes de programación soportados por Semgrep, asegurando que los agentes y usuarios conozcan la cobertura para su base de código.
semgrep_rule_schema	Proporciona el último esquema JSON de reglas de Semgrep, permitiendo a LLM o desarrolladores redactar y validar reglas personalizadas basadas en la sintaxis oficial.