Semgrep Mcp Server

Was ist MCP?

MCP, oder Multi-Component Platform, ist ein Server, der entwickelt wurde, um Semgrep zur Code-Überprüfung zu nutzen, um Sicherheitsanfälligkeiten zu identifizieren. Es dient als leistungsstarkes Werkzeug für Entwickler und Sicherheitsfachleute, das ihnen ermöglicht, die Integrität und Sicherheit ihrer Codebasen zu gewährleisten, indem potenzielle Sicherheitsprobleme früh im Entwicklungsprozess erkannt werden.

Funktionen von MCP

• Sicherheitsüberprüfung: MCP nutzt die Fähigkeiten von Semgrep, um Code auf verschiedene Sicherheitsanfälligkeiten zu scannen, und hilft Teams, sichere Programmierpraktiken aufrechtzuerhalten.
• Benutzerfreundliche Oberfläche: Die Plattform bietet eine intuitive Benutzeroberfläche, die den Scan-Prozess vereinfacht und ihn für Benutzer aller Fähigkeitsstufen zugänglich macht.
• Integration mit CI/CD: MCP kann in Continuous Integration und Continuous Deployment (CI/CD) Pipelines integriert werden, was automatisierte Sicherheitsprüfungen als Teil des Entwicklungs-Workflows ermöglicht.
• Anpassbare Regeln: Benutzer können benutzerdefinierte Regeln definieren, die auf ihre spezifischen Sicherheitsanforderungen zugeschnitten sind, was die Effektivität des Scan-Prozesses erhöht.
• Echtzeit-Feedback: Die Plattform bietet sofortiges Feedback zu Codeanfälligkeiten, sodass Entwickler Probleme umgehend angehen können.

So verwenden Sie MCP

1. Richten Sie Ihre Umgebung ein: Beginnen Sie mit der Installation von MCP auf Ihrem Server oder lokalen Rechner. Befolgen Sie die Installationsanweisungen in der Dokumentation.
2. Konfigurieren Sie Ihr Projekt: Erstellen Sie ein neues Projekt innerhalb von MCP und konfigurieren Sie die erforderlichen Einstellungen, einschließlich der verwendeten Programmiersprachen und Frameworks.
3. Definieren Sie Scanning-Regeln: Nutzen Sie die integrierten Regeln oder erstellen Sie benutzerdefinierte Regeln, die die Sicherheitsrichtlinien Ihrer Organisation widerspiegeln.
4. Führen Sie Scans durch: Starten Sie einen Scan Ihrer Codebasis. MCP analysiert den Code und identifiziert Sicherheitsanfälligkeiten basierend auf den definierten Regeln.
5. Überprüfen Sie die Ergebnisse: Nachdem der Scan abgeschlossen ist, überprüfen Sie die Ergebnisse, um die erkannten Sicherheitsanfälligkeiten zu verstehen. Die Plattform bietet detaillierte Informationen zu jedem Problem.
6. Beheben Sie Sicherheitsanfälligkeiten: Gehen Sie die identifizierten Sicherheitsanfälligkeiten in Ihrem Code an. Nutzen Sie das Feedback von MCP, um Ihre Behebungsmaßnahmen zu leiten.
7. Integrieren Sie in CI/CD: Für fortlaufende Sicherheitsgarantie integrieren Sie MCP in Ihre CI/CD-Pipeline, um das Scannen bei jeder Codeänderung zu automatisieren.

Häufig gestellte Fragen

Welche Programmiersprachen unterstützt MCP?

MCP unterstützt eine Vielzahl von Programmiersprachen, einschließlich, aber nicht beschränkt auf Python, JavaScript, Java und Go. Überprüfen Sie die Dokumentation für eine vollständige Liste der unterstützten Sprachen.

Ist MCP Open Source?

Ja, MCP ist ein Open-Source-Projekt, das es Benutzern ermöglicht, zur Entwicklung beizutragen und es nach ihren Bedürfnissen anzupassen.

Wie kann ich eine Sicherheitsanfälligkeit melden, die in MCP gefunden wurde?

Wenn Sie eine Sicherheitsanfälligkeit in MCP selbst entdecken, melden Sie diese bitte über den Issue-Tracker des Projekts auf GitHub. Geben Sie detaillierte Informationen an, um den Betreuern zu helfen, das Problem umgehend zu beheben.

Kann ich MCP für kommerzielle Projekte verwenden?

Absolut! MCP ist sowohl für die persönliche als auch für die kommerzielle Nutzung konzipiert und ist ein vielseitiges Werkzeug für Entwickler und Organisationen.

Wo finde ich weitere Informationen über MCP?

Für weitere Informationen besuchen Sie die offizielle MCP-Website unter mcp.semgrep.ai oder überprüfen Sie das GitHub-Repository für Dokumentation und Updates.

<p align="center"> <a href="https://semgrep.dev"> <picture> <source media="(prefers-color-scheme: light)" srcset="images/semgrep-logo-light.svg"> <source media="(prefers-color-scheme: dark)" srcset="images/semgrep-logo-dark.svg"> <img src="https://raw.githubusercontent.com/semgrep/mcp/main/images/semgrep-logo-light.svg" height="60" alt="Semgrep logo"/> </picture> </a> </p> <p align="center"> <a href="https://semgrep.dev/docs/"> <img src="https://img.shields.io/badge/Semgrep-docs-2acfa6?style=flat-square" alt="Documentation" /> </a> <a href="https://go.semgrep.dev/slack"> <img src="https://img.shields.io/badge/Slack-4.5k%20-4A154B?style=flat-square&logo=slack&logoColor=white" alt="Join Semgrep community Slack" /> </a> <a href="https://www.linkedin.com/company/semgrep/"> <img src="https://img.shields.io/badge/LinkedIn-follow-0a66c2?style=flat-square" alt="Follow on LinkedIn" /> </a> <a href="https://x.com/intent/follow?screen_name=semgrep"> <img src="https://img.shields.io/badge/semgrep-000000?style=flat-square&logo=x&logoColor=white?style=flat-square" alt="Follow @semgrep on X" /> </a> </p>

Semgrep MCP Server

A Model Context Protocol (MCP) server for using Semgrep to scan code for security vulnerabilities. Secure your vibe coding! 😅

Model Context Protocol (MCP) is a standardized API for LLMs, Agents, and IDEs like Cursor, VS Code, Windsurf, or anything that supports MCP, to get specialized help, get context, and harness the power of tools. Semgrep is a fast, deterministic static analysis tool that semantically understands many languages and comes with over 5,000 rules. 🛠️

[!NOTE] This beta project is under active development. We would love your feedback, bug reports, feature requests, and code. Join the #mcp community Slack channel!

Contents

• Semgrep MCP Server
  • Contents
  • Getting started
    • Cursor
    • ChatGPT
    • Hosted Server
      • Cursor
  • Demo
  • API
    • Tools
      • Scan Code
      • Understand Code
      • Cloud Platform (login and Semgrep token required)
      • Meta
    • Prompts
    • Resources
  • Usage
    • Standard Input/Output (stdio)
      • Python
      • Docker
    • Streamable HTTP
      • Python
      • Docker
    • Server-sent events (SSE)
      • Python
      • Docker
  • Semgrep AppSec Platform
  • Integrations
    • Cursor IDE
    • VS Code / Copilot
      • Manual Configuration
      • Using Docker
    • Windsurf
    • Claude Desktop
    • Claude Code
    • OpenAI
      • Agents SDK
    • Custom clients
      • Example Python SSE client
  • Contributing, community, and running from source
    • Similar tools 🔍
    • Community projects 🌟
    • MCP server registries

Getting started

Run the Python package as a CLI command using uv:

uvx semgrep-mcp # see --help for more options

Or, run as a Docker container:

docker run -i --rm ghcr.io/semgrep/mcp -t stdio 

Cursor

Example mcp.json

{
  "mcpServers": {
    "semgrep": {
      "command": "uvx",
      "args": ["semgrep-mcp"],
      "env": {
        "SEMGREP_APP_TOKEN": "<token>"
      }
    }
  }
}

Add an instruction to your .cursor/rules to use automatically:

Always scan code generated using Semgrep for security vulnerabilities

ChatGPT

1. Go to the Connector Settings page (direct link)
2. Name the connection Semgrep
3. Set MCP Server URL to https://mcp.semgrep.ai/sse
4. Set Authentication to No authentication
5. Check the I trust this application checkbox
6. Click Create

See more details at the official docs.

Hosted Server

[!WARNING] mcp.semgrep.ai is an experimental server that may break unexpectedly. It will rapidly gain new functionality.🚀

Cursor

1. Cmd + Shift + J to open Cursor Settings
2. Select MCP Tools
3. Click New MCP Server.

{
  "mcpServers": {
    "semgrep": {
      "type": "streamable-http",
      "url": "https://mcp.semgrep.ai/mcp"
    }
  }
}

Demo

<a href="https://www.loom.com/share/8535d72e4cfc4e1eb1e03ea223a702df"> <img style="max-width:300px;" src="https://cdn.loom.com/sessions/thumbnails/8535d72e4cfc4e1eb1e03ea223a702df-1047fabea7261abb-full-play.gif"> </a>

API

Tools

Enable LLMs to perform actions, make deterministic computations, and interact with external services.

Scan Code

• security_check: Scan code for security vulnerabilities
• semgrep_scan: Scan code files for security vulnerabilities with a given config string
• semgrep_scan_with_custom_rule: Scan code files using a custom Semgrep rule

Understand Code

• get_abstract_syntax_tree: Output the Abstract Syntax Tree (AST) of code

Cloud Platform (login and Semgrep token required)

• semgrep_findings: Fetch Semgrep findings from the Semgrep AppSec Platform API

Meta

• supported_languages: Return the list of languages Semgrep supports
• semgrep_rule_schema: Fetches the latest semgrep rule JSON Schema

Prompts

Reusable prompts to standardize common LLM interactions.

• write_custom_semgrep_rule: Return a prompt to help write a Semgrep rule

Resources

Expose data and content to LLMs

• semgrep://rule/schema: Specification of the Semgrep rule YAML syntax using JSON schema
• semgrep://rule/{rule_id}/yaml: Full Semgrep rule in YAML format from the Semgrep registry

Usage

This Python package is published to PyPI as semgrep-mcp and can be installed and run with pip, pipx, uv, poetry, or any Python package manager.

$ pipx install semgrep-mcp
$ semgrep-mcp --help

Usage: semgrep-mcp [OPTIONS]

  Entry point for the MCP server

  Supports both stdio and sse transports. For stdio, it will read from stdin
  and write to stdout. For sse, it will start an HTTP server on port 8000.

Options:
  -v, --version                Show version and exit.
  -t, --transport [stdio|sse]  Transport protocol to use (stdio or sse)
  -h, --help                   Show this message and exit.

Standard Input/Output (stdio)

The stdio transport enables communication through standard input and output streams. This is particularly useful for local integrations and command-line tools. See the spec for more details.

Python

semgrep-mcp

By default, the Python package will run in stdio mode. Because it's using the standard input and output streams, it will look like the tool is hanging without any output, but this is expected.

Docker

This server is published to Github's Container Registry (ghcr.io/semgrep/mcp)

docker run -i --rm ghcr.io/semgrep/mcp -t stdio

By default, the Docker container is in SSE mode, so you will have to include -t stdio after the image name and run with -i to run in interactive mode.

Streamable HTTP

Streamable HTTP enables streaming responses over JSON RPC via HTTP POST requests. See the spec for more details.

By default, the server listens on 127.0.0.1:8000/mcp for client connections. To change any of this, set FASTMCP_* environment variables. The server must be running for clients to connect to it.

Python

semgrep-mcp -t streamable-http

By default, the Python package will run in stdio mode, so you will have to include -t streamable-http.

Docker

docker run -p 8000:0000 ghcr.io/semgrep/mcp

Server-sent events (SSE)

[!WARNING] The MCP communiity considers this a legacy transport portcol and is really intended for backwards compatibility. Streamable HTTP is the recommended replacement.

SSE transport enables server-to-client streaming with Server-Send Events for client-to-server and server-to-client communication. See the spec for more details.

By default, the server listens on 127.0.0.1:8000/sse for client connections. To change any of this, set FASTMCP_* environment variables. The server must be running for clients to connect to it.

Python

semgrep-mcp -t sse

By default, the Python package will run in stdio mode, so you will have to include -t sse.

Docker

docker run -p 8000:0000 ghcr.io/semgrep/mcp -t sse

Semgrep AppSec Platform

Optionally, to connect to Semgrep AppSec Platform:

1. Login or sign up
2. Generate a token from Settings
3. Add the token to your environment variables:

   • CLI (export SEMGREP_APP_TOKEN=<token>)

   • Docker (docker run -e SEMGREP_APP_TOKEN=<token>)

   • MCP config JSON

    "env": {
      "SEMGREP_APP_TOKEN": "<token>"
    }

[!TIP] Please reach out for support if needed. ☎️

Integrations

Cursor IDE

Add the following JSON block to your ~/.cursor/mcp.json global or .cursor/mcp.json project-specific configuration file:

{
  "mcpServers": {
    "semgrep": {
      "command": "uvx",
      "args": ["semgrep-mcp"]
    }
  }
}

See cursor docs for more info.

VS Code / Copilot

Click the install buttons at the top of this README for the quickest installation.

Manual Configuration

Add the following JSON block to your User Settings (JSON) file in VS Code. You can do this by pressing Ctrl + Shift + P and typing Preferences: Open User Settings (JSON).

{
  "mcp": {
    "servers": {
      "semgrep": {
        "command": "uvx",
        "args": ["semgrep-mcp"]
      }
    }
  }
}

Optionally, you can add it to a file called .vscode/mcp.json in your workspace:

{
  "servers": {
    "semgrep": {
      "command": "uvx",
        "args": ["semgrep-mcp"]
    }
  }
}

Using Docker

{
  "mcp": {
    "servers": {
      "semgrep": {
        "command": "docker",
        "args": [
          "run",
          "-i",
          "--rm",
          "ghcr.io/semgrep/mcp",
          "-t",
          "stdio"
        ]
      }
    }
  }
}

See VS Code docs for more info.

Windsurf

Add the following JSON block to your ~/.codeium/windsurf/mcp_config.json file:

{
  "mcpServers": {
    "semgrep": {
      "command": "uvx",
      "args": ["semgrep-mcp"]
    }
  }
}

See Windsurf docs for more info.

Claude Desktop

Here is a short video showing Claude Desktop using this server to write a custom rule.

Add the following JSON block to your claude_desktop_config.json file:

{
  "mcpServers": {
    "semgrep": {
      "command": "uvx",
      "args": ["semgrep-mcp"]
    }
  }
}

See Anthropic docs for more info.

Claude Code

claude mcp add semgrep uvx semgrep-mcp

See Claude Code docs for more info.

OpenAI

See the offical docs:

• https://platform.openai.com/docs/mcp
• https://platform.openai.com/docs/guides/tools-remote-mcp

Agents SDK

async with MCPServerStdio(
    params={
        "command": "uvx",
        "args": ["semgrep-mcp"],
    }
) as server:
    tools = await server.list_tools()

See OpenAI Agents SDK docs for more info.

Custom clients

Example Python SSE client

See a full example in examples/sse_client.py

from mcp.client.session import ClientSession
from mcp.client.sse import sse_client


async def main():
    async with sse_client("http://localhost:8000/sse") as (read_stream, write_stream):
        async with ClientSession(read_stream, write_stream) as session:
            await session.initialize()
            results = await session.call_tool(
                "semgrep_scan",
                {
                    "code_files": [
                        {
                            "filename": "hello_world.py",
                            "content": "def hello(): print('Hello, World!')",
                        }
                    ]
                },
            )
            print(results)

[!TIP] Some client libraries want the URL: http://localhost:8000/sse and others only want the HOST: localhost:8000. Try out the URL in a web browser to confirm the server is running, and there are no network issues.

See official SDK docs for more info.

Contributing, community, and running from source

[!NOTE] We love your feedback, bug reports, feature requests, and code. Join the #mcp community Slack channel!

See CONTRIBUTING.md for more info and details on how to run from the MCP server from source code.

Similar tools 🔍

• semgrep-vscode - Official VS Code extension
• semgrep-intellij - IntelliJ plugin

Community projects 🌟

• semgrep-rules - The official collection of Semgrep rules
• mcp-server-semgrep - Original inspiration written by Szowesgad and stefanskiasan

MCP server registries

• Glama

<a href="https://glama.ai/mcp/servers/@semgrep/mcp"> <img width="380" height="200" src="https://glama.ai/mcp/servers/4iqti5mgde/badge" alt="Semgrep Server MCP server" /> </a>

• MCP.so

---

Made with ❤️ by the Semgrep Team