בניית ה-hackbot שלך, חלק 3: כלי MCP וה-CLI

חלק שני בנה סוכן עם שני כלים משלך. הפוסט הזה מחבר אותו לכלים משותפים על גבי Model Context Protocol, מוסיף בדיקת scope אוטומטית, ומריץ את התוצאה מהטרמינל או מהעורך שלך. אם MCP חדש לך, קרא קודם מה זה MCP, ו-מה הם סוכני AI ושימוש בכלים לרעיון הרחב יותר.

#מהכלים שלך לכלים משותפים

שני הכלים שכתבת עובדים, והם מפסיקים להספיק ברגע שאתה רוצה חיפושי CVE, knowledge base, או קריאות web בלי לקודד כל אחד. MCP הוא דרך סטנדרטית לסוכן להשתמש בכלים שמישהו אחר כתב ומריץ, כך שהלולאה שלך יכולה לקרוא להם בלי קוד חדש. Model Context Protocol מגדיר את הפורמט, והרבה clients ו-servers כבר מדברים אותו.

#מה NotHoly חושף על גבי MCP

NotHoly CLI מגיע עם MCP server מקומי. הוא רץ על גבי standard input ו-output ומשתמש בהתחברות ה-CLI שלך, כך ששום מפתח לא נכנס לאף קובץ config.

הפעל את ה-server ורשום אותו אצל client. אצל הסוכן של NotHoly CLI עצמו, כלי המחקר כבר נוכחים, ולכן זה חשוב בעיקר כשאתה מחבר את הכלים של NotHoly לסוכן אחר.

claude mcp add notholy -- notholy mcp

כל MCP client קורא את אותה צורת JSON.

{"mcpServers": {"notholy": {"command": "notholy", "args": ["mcp"]}}}

הכלים עובדים עם כל מודל, ולכן סוכן שמריץ מודל מהקטלוג, או כל מודל אחר, עדיין יכול להגיע לנתוני ה-CVE וה-knowledge base של NotHoly. המודל מחליט מתי לקרוא להם, והתוצאות חוזרות כנתונים שהלולאה תקרא.

#בדיקת scope עם notholy engage

הסוכן שלך ב-Python סומך עליך שתקרא כל פקודה בשביל ה-scope. ה-CLI יכול לבדוק את זה בשבילך. notholy engage רושם במה התוכנית מרשה לגעת וקורא את היעד מכל פקודה לפני שהיא רצה.

notholy engage init --name acme-web --scope "*.example.com,api.example.com" --exclude vpn.example.com
notholy connect claude

כש-engagement פעיל, פקודה שב-scope עוברת דרך האישור הרגיל, ויעד שמחוץ ל-scope מחייב אותך להקליד את ה-host ומתעד את ה-override. notholy connect claude מתקין את אותה בדיקה כ-hook על פקודות shell, שם פקודה שמחוץ ל-scope נדחית מיד. הבדיקה קוראת את טקסט הפקודה ולא פותרת שמות, ולכן היא תופסת טעויות ואינה sandbox. זו הגרסה האוטומטית של הרגל האישור מחלק שני.

#הרצה מה-CLI ומהעורך

עכשיו יש לך שלוש דרכים להריץ סוכן, והן חולקות חשבון אחד. לולאת ה-Python שלך היא זו שאתה מבין במלואה ויכול לשנות. NotHoly CLI מריץ סוכן מוכן בטרמינל עם ה-guardrails האלה מובנים. ו-notholy connect או notholy run מפנים סוכן של עורך למודלים ולכלים של NotHoly, כך שאותה לולאה רצה במקום שבו אתה קורא קוד.

notholy run claude

notholy run מגדיר את הסביבה לתהליך אחד בלי לגעת ב-config הגלובלי שלך. notholy connect כותב את ה-config ויכול לבטל אותו. כך או כך, המודל רץ על NotHoly, הפקודות רצות על המחשב שלך, וכלי המחקר מגיעים על גבי MCP.

#מתי להשתמש במה

השתמש בסוכן שלך כדי ללמוד וכדי לשלוט בדיוק במה שרץ. השתמש בסוכן ה-CLI כשאתה רוצה את ה-guardrails בלי לתחזק אותם. השתמש באינטגרציה עם העורך כשהעבודה היא קריאה ושינוי של קוד. שלושתם שומרים על אותה חלוקה מ-חלק ראשון: המודל מתכנן, המחשב שלך פועל, וכל פקודה היא שלך לאשר.

#הבא במסלול

הסוכן מוצא ומאמת; אתה עדיין צריך לקבל על זה תשלום. כתיבת דוחות bug bounty בעזרת AI הופכת את ההערות שלך לדוח ש-triager מקבל.