Dai al tuo agente tool condivisi via MCP, aggiungi un controllo dello scope con notholy engage ed esegui tutto dalla NotHoly CLI o dal tuo editor.
La parte due ha costruito un agente con due tool tuoi. Questo post lo collega a tool condivisi tramite il Model Context Protocol, aggiunge un controllo automatico dello scope ed esegue il risultato dal terminale o dal tuo editor. Se MCP è nuovo per te, leggi prima cos'è MCP, e cosa sono gli agenti di IA e il tool use per l'idea più ampia.
I due tool che hai scritto funzionano, e smettono di bastare nel momento in cui vuoi lookup di CVE, una knowledge base o letture web senza programmare ciascuna. MCP è un modo standard perché un agente usi tool che qualcun altro ha scritto ed esegue, così il tuo loop può chiamarli senza nuovo codice. Il Model Context Protocol definisce il formato, e molti client e server lo parlano già.
La NotHoly CLI include un server MCP locale. Gira su standard input e output e usa il tuo login della CLI, così nessuna chiave finisce in un file di configurazione.
| Tool | Fa |
|---|---|
| cve_lookup, cve_search | Cerca e interroga le CVE |
| advisory_query | Interroga gli advisory dei pacchetti |
| kb_search, kb_read | Legge la knowledge base di sicurezza curata |
| web_search, read_url | Cerca sul web e legge una pagina pubblica |
Avvia il server e registralo con un client. Per l'agente della NotHoly CLI stessa, i tool di ricerca sono già presenti, quindi questo conta soprattutto quando colleghi i tool di NotHoly a un altro agente.
claude mcp add notholy -- notholy mcpQualsiasi client MCP legge la stessa forma JSON.
{"mcpServers": {"notholy": {"command": "notholy", "args": ["mcp"]}}}I tool funzionano con qualsiasi modello, quindi un agente che esegue un modello dal catalogo, o uno qualsiasi, può comunque raggiungere i dati di CVE e della knowledge base di NotHoly. Il modello decide quando chiamarli, e i risultati tornano come dato che il loop deve leggere.
Il tuo agente Python si fida di te per leggere ogni comando a caccia di scope. La CLI può controllarlo al posto tuo. notholy engage registra cosa il programma ti lascia toccare e legge il target da ogni comando prima che parta.
notholy engage init --name acme-web --scope "*.example.com,api.example.com" --exclude vpn.example.com
notholy connect claudeCon un engagement attivo, un comando nello scope passa per l'approvazione normale, e un target fuori scope ti fa digitare l'host e registra l'override. notholy connect claude installa lo stesso controllo come hook sui comandi shell, dove un comando fuori scope viene negato del tutto. Il controllo legge il testo del comando e non risolve i nomi, quindi coglie gli errori e non è una sandbox. È la versione automatica dell'abitudine di approvazione della parte due.
Ora hai tre modi per eseguire un agente, e condividono un account. Il tuo loop Python è quello che capisci del tutto e puoi cambiare. La NotHoly CLI esegue un agente pronto all'uso nel terminale con questi guardrail già dentro. E notholy connect o notholy run puntano un agente dell'editor sui modelli e i tool di NotHoly, così lo stesso loop gira dove leggi il codice.
notholy run claudenotholy run imposta l'ambiente per un processo senza toccare la tua configurazione globale. notholy connect scrive la configurazione e può annullarla. In entrambi i casi, il modello gira su NotHoly, i comandi girano sulla tua macchina, e i tool di ricerca arrivano tramite MCP.
Usa il tuo agente per imparare e per controllare esattamente cosa gira. Usa l'agente della CLI quando vuoi i guardrail senza mantenerli. Usa l'integrazione con l'editor quando il lavoro è leggere e cambiare codice. Tutti e tre tengono la stessa divisione della parte uno: il modello pianifica, la tua macchina agisce, e ogni comando è tuo da approvare.
L'agente trova e verifica; devi ancora farti pagare per questo. Scrivere report di bug bounty con l'IA trasforma le tue note in un report che un triager accetta.
Agenti di IA per la sicurezza
Metti nella pipeline un modello che non rifiuta, con CVE, advisory e lettura di pagine pubbliche senza costo di token. I tuoi strumenti fanno l'attivo.
Agenti di IA per la sicurezza
Il progetto di un agente di bug bounty: un LLM, dei tool, memoria e guardrail, in un loop che gira sulla tua macchina sotto la tua approvazione.
Agenti di IA per la sicurezza
Un agente di bug bounty in Python con tool calling sull'API NotHoly: propone comandi di recon, aspetta l'approvazione, legge l'output e tiene le note.