Semgrep MCP Server

Что умеет сервер

MCP-сервер Semgrep теперь входит в сам инструмент Semgrep и запускается подкомандой semgrep mcp. Раньше он жил в отдельном репозитории semgrep/mcp, но тот помечен как устаревший и заархивирован, а развитие перенесено в основной репозиторий semgrep и бинарный файл semgrep. В README сервер подаётся как Semgrep Guardian: он собирает в одной установке MCP-сервер, хуки и навыки и проверяет каждый файл, который сгенерировал агент, средствами Semgrep Code, Supply Chain и Secrets. Если находки есть, агента просят переписать код, пока Semgrep не вернёт чистый результат или вы не решите отклонить находки.

Semgrep описан как быстрый детерминированный статический анализатор, который понимает множество языков и поставляется с более чем 10 000 правил. Сервер работает по stdio и по streamable HTTP, а при желании подключается к платформе Semgrep AppSec Platform по токену.

Когда использовать

Подключайте сервер, когда ИИ-агент пишет код и вы хотите проверять результат на уязвимости, утечки секретов и проблемные зависимости сразу, а не на ревью. Самый короткий путь у Claude Code и Cursor: плагин из маркетплейса и навык настройки. Для VS Code с Copilot, Kiro и других клиентов сервер подключается обычной конфигурацией с командой semgrep mcp.

Ограничения и безопасность

Для работы нужен Semgrep CLI; плагины для Claude Code и Cursor ставят его сами при запуске навыка настройки. Проект развивается: авторы сами пишут, что он в активной разработке, и просят отзывы.

Для Windsurf настройка идёт через хук после записи кода и требует установленного Semgrep Pro, для чего нужно войти командой semgrep login. Токен платформы SEMGREP_APP_TOKEN необязателен; если он нужен, передавайте его переменной окружения, а не записывайте в общий конфиг. В режиме streamable HTTP сервер по умолчанию слушает адрес 127.0.0.1 и порт 8000, а в контейнере порт публикуется явно, так что не выставляйте его наружу без нужды. Для инструмента semgrep_scan_remote в README указано, что его включает переменная SEMGREP_IS_HOSTED=true.

Claude Code

Запустите Claude Code в терминале, откройте маркетплейс плагинов, найдите Semgrep и установите:

claude
/plugin

В разделе Discover найдите Semgrep и нажмите Install. Затем настройте плагин навыком, он же установит Semgrep CLI:

/setup-semgrep-plugin

Cursor

Найдите Semgrep в Cursor Plugin Marketplace или откройте Cursor > ⌘⇧J > Plugins, найдите Semgrep и нажмите Add to Cursor. Затем выполните навык настройки, он установит Semgrep CLI, и перезапустите Cursor:

/setup-semgrep-plugin

Запуск сервера из Semgrep CLI

Сначала нужен Semgrep CLI:

$ brew install semgrep

Запуск по stdio (режим по умолчанию):

semgrep mcp

Запуск через Docker:

docker run -i --rm semgrep/semgrep semgrep mcp -t stdio

Запуск по streamable HTTP (по умолчанию сервер слушает 127.0.0.1:8000/mcp):

semgrep mcp -t streamable-http

docker run -p 8000:8000 semgrep/semgrep semgrep mcp

VS Code и Copilot

Добавьте в пользовательские настройки (Preferences: Open User Settings (JSON)):

{
  "mcp": {
    "servers": {
      "semgrep": {
        "command": "semgrep",
        "args": ["mcp"]
      }
    }
  }
}

Либо в файл .vscode/mcp.json рабочей области:

{
  "servers": {
    "semgrep": {
      "command": "semgrep",
        "args": ["mcp"]
    }
  }
}

Kiro

Добавьте в .kiro/settings/mcp.json:

{
  "mcpServers": {
    "semgrep": {
      "command": "semgrep",
      "args": ["mcp"],
      "env": {
        "SEMGREP_APP_TOKEN": "${SEMGREP_TOKEN}"
      }
    }
  }
}

Windsurf

Установите Semgrep, проверьте версию, войдите и установите Semgrep Pro:

# install through homebrew
brew install semgrep

# install through pip
python3 -m pip install semgrep

semgrep --version

semgrep login && semgrep install-semgrep-pro

Создайте файл ~/.codeium/windsurf/hooks.json:

{
  "hooks": {
    "post_write_code": [
      {
        "command": "semgrep mcp -k post-tool-cli-scan -a windsurf",
        "show_output": true
      }
    ]
  }
}

Перезапустите Windsurf.

Подключение к Semgrep AppSec Platform

Это необязательный шаг: создайте токен в настройках платформы и передайте его в окружение.

export SEMGREP_APP_TOKEN=<token>