Spec Driven Development
von formulahendry
MCP Server that facilitates spec-driven development workflows, not just Vibe Coding.
Läuft auf deinem Computer★ 440MITAktualisiert vor 14 Monaten
Installieren
Offense
Überblick
Beschreibung vom Entwickler (englisches Original)
Security tools for coding agents: dependency advisory audits and evidence for remediation.
Die drei Säulen von PopNx MCP
Diese drei werden nie zu einer Punktzahl zusammengefasst: Meinungen, Messungen und Beliebtheit sind verschiedene Dinge.
- Stimmen der NutzeriNoch keine BewertungenBewertungen starten in einem späteren Schritt zusammen mit Benutzerkonten
- Unsere Basischecksi1 von 1 bestandenAnhand öffentlicher Informationen geprüft; Code noch nicht gescannt
- NutzungiNoch nicht gemessen★ –
Was du damit machen kannst
Für diesen Server haben wir noch keine Zusammenfassung in einfacher Sprache geschrieben. Unten stehen die Fakten, die wir aus der Registry gelesen haben.
- Verbindung: Läuft in der Cloud
- Transport: Streamable HTTP
- Kategorie: Sonstiges
Installation
Wähle die KI-App, die du nutzt, und kopiere die Einstellungen.
Bevor du installierst
- Basischecks: 1 von 1 bestanden
- Läuft auf dem Server des Entwicklers: Was du fragst, läuft über dessen Server.
- Die Registry nennt keinen Schlüssel zum Eintragen.
Du brauchst
- Läuft in der CloudNichts zu installieren; die Verbindung läuft übers Internet
Welche App nutzt du?
Wähle oben deine App. Wir merken sie uns, damit der Button beim nächsten Mal „In … installieren“ anzeigt.
Funktioniert in Claude im Web, auf dem Desktop und auf dem Handy:
- Öffne Settings → Connectors
- Tippe auf Add custom connector
- Füge die Adresse unten ein und tippe auf Add
- Wenn eine Anmeldung verlangt wird, melde dich beim Dienst des Entwicklers an
https://offense.sh/mcpFühre das in deinem Terminal aus
claude mcp add --transport http offense https://offense.sh/mcpOder kopier die Einstellungen selbst
In .cursor/mcp.json in deinem Projekt oder in ~/.cursor/mcp.json einfügen
{
"mcpServers": {
"offense": {
"url": "https://offense.sh/mcp"
}
}
}Dein Browser fragt, ob er die App öffnen darf, dann zeigt die App die Einstellungen und bittet dich um Bestätigung. Schlüsselwerte bleiben leer, damit du sie selbst einträgst.
Oder kopier die Einstellungen selbst
In .vscode/mcp.json in deinem Projekt einfügen
{
"servers": {
"offense": {
"type": "http",
"url": "https://offense.sh/mcp"
}
}
}Dein Browser fragt, ob er die App öffnen darf, dann zeigt die App die Einstellungen und bittet dich um Bestätigung. Schlüsselwerte bleiben leer, damit du sie selbst einträgst.
ChatGPT verbindet sich nur mit Servern im Internet:
- Öffne ChatGPT im Web → Settings → Connectors (Apps)
- Tippe auf Create oder Add (bei manchen Tarifen musst du zuerst Developer mode unter Advanced einschalten)
- Füge die Adresse unten ein, gib ihr einen Namen und speichere
- Wenn eine Anmeldung verlangt wird, melde dich beim Dienst des Entwicklers an
https://offense.sh/mcpMenünamen können sich je nach Tarif und mit der Zeit leicht unterscheiden.
Deine Auswahl bleibt in einem Cookie auf diesem Gerät; kein Konto nötig.
Diese Einstellungen werden aus dem Registry-Eintrag des Entwicklers erzeugt. Wenn in der README etwas anderes steht, folge der README.
Was er kann
Die Tool-Liste dieses Servers haben wir noch nicht gelesen; wir prüfen die Endpunkte reihum.
Basischecksi
Wir prüfen Informationen, die jeder sehen kann; den Code haben wir nicht gelesen. Checks, die nicht zutreffen, werden nicht mitgezählt. · Geprüft am 6. Nov. 2026
- ✓ Bestanden
Entwickler passt zum Repo
Der Registry-Name wurde mit dem GitHub-Konto offense-research bestätigt, dem das Repo gehört
- … Noch nicht geprüft
Wird noch gepflegt
Dieses Repo haben wir noch nicht von GitHub gelesen
- … Noch nicht geprüft
Hat eine Lizenz
Dieses Repo haben wir noch nicht von GitHub gelesen
- … Noch nicht geprüft
Endpunkt antwortet
Noch nicht geprüft; wir prüfen die Endpunkte reihum
- … Noch nicht geprüft
Anmeldung mit OAuth
Noch nicht geprüft; wir prüfen die Endpunkte reihum
- … Noch nicht geprüft
Keine versteckten Anweisungen in Tool-Beschreibungen
Noch nicht geprüft; wir lesen die Tool-Liste, wenn wir den Endpunkt prüfen
Im Vergleich mit anderen in Sonstigesi
- Mehr Sterne als 0 % der anderen 32433 Server in dieser Kategorie
- Neuer in der Registry veröffentlicht als 84 % der anderen 32433 Server in dieser Kategorie
- Basischecks gleich gut wie oder besser als bei 100 % der anderen 32433 Server in dieser Kategorie
Verglichen mit allen aktiven Servern dieser Kategorie in der Registry. Sterne zählen nur, wenn dem Herausgeber das Repo gehört.
Häufige Fragen
Ist Offense sicher?
Er hat 1 von 1 zutreffenden Basischecks bestanden. Den Code haben wir nicht gelesen. Bevor du einen Schlüssel oder Token hinzufügst, sieh nach, welche Zugriffe der Server verlangt, und nutze einen Schlüssel, der nur die Berechtigungen hat, die du brauchst.
Welche Schlüssel oder Codes braucht er?
Die Registry nennt keinen erforderlichen Schlüssel, manche Server bitten dich aber bei der ersten Nutzung, dich anzumelden.
Läuft er auf meinem Computer oder in der Cloud?
Er läuft in der Cloud des Entwicklers. Du verbindest dich übers Internet, ohne etwas zu installieren, aber was du sendest, läuft über die Server des Entwicklers.
Wird er noch gepflegt?
Das GitHub-Repo wurde zuletzt – geändert, und die neueste Version (0.7.0) kam vor 6 Tagen in die Registry.
Welche Apps können ihn nutzen?
Apps, die MCP unterstützen, etwa Claude Desktop, Claude Code, Cursor und VS Code. Er verbindet sich per URL, also funktionieren auch Apps, die Remote-MCP-Server akzeptieren, zum Beispiel ChatGPT im Entwicklermodus.
Was kann ich stattdessen nutzen?
In derselben Kategorie: Spec Driven Development, Remote Desktop Commander, Symantec Cloud DLP AIops
Alternativen
Server derselben Kategorie von anderen Entwicklern, sortiert nach Sternen.
So liest du eine Karte:★ GitHub-SterneiDrei Säulen: Bewertungen · Checks · NutzungiAktualisiert = neueste Version in der Registry veröffentlichti
Remote Desktop Commander
von desktop-commander
Remote Desktop Commander: use files, terminal and processes on your own computers from any AI app.
Läuft in der Cloud★ 211Aktualisiert gestern
Installieren
Symantec Cloud DLP AIops
von AIops-tools
Governed Symantec Cloud DLP — 14 MCP tools, read-only with audit.
Läuft auf deinem ComputerAktualisiert heute
Installieren
README vom Entwickler
README öffnen
Unverändert aus dem Repo des Entwicklers übernommen. PopNx MCP hat den Inhalt weder geprüft noch empfiehlt es ihn. HTML, Bilder und Skripte wurden entfernt. Links führen von dieser Website weg.
Offense
Security tools your AI agent can discover, call and verify.
Offense is a product by [Offense Research, Inc.](https://offenseresearch.com). Open-source software, optional paid hosting.
Give Pi, OMP, Hermes, Codex, Claude Code, Crush or another coding agent the tools to audit dependencies, inspect source and workflows, and test a proposed fix. Offense returns structured security evidence through CLI, MCP and HTTP. Your agent reads that evidence, investigates your code, makes authorized changes and runs your tests—with its existing model, repository access and permissions.
Open-source repository · Discord · Hosted service · Self-hosting · Contributing · Report a vulnerability
Start here: Give this to your agent · Add with a PR · Recipes · Install the CLI · Agent installation · Choose a mode · Local quick start · MCP setup · Self-hosted platform · Documentation · Troubleshooting · Community
Add Offense to your repository with a PR
Enter your GitHub repository and base branch. The installer opens GitHub's prefilled workflow editor; review the file, choose Create a new branch, then open a pull request. No Offense account, API key or GitHub token is required. Offense prepares the link; you create and approve the PR on GitHub.
The starter adds free npm/pnpm dependency audits on pull requests using pinned, read-only GitHub Actions. It never installs or runs your app, edits code or calls paid Offense tools. Dependency metadata goes to OSV/npm; reports are retained as GitHub artifacts for seven days. Advisories are report-only; coverage warnings and scan errors fail the check. GitHub Actions usage limits and charges still apply. This is a dependency check, not the full tool catalog.
Review the template · Manual installation, privacy and updates
Give this to your agent
Paste this into your coding agent in the project you want to check:
Set up Offense for this project. Read the installation instructions athttps://github.com/offense-research/offense#install-the-offensesh-agent-skill and review the skill at https://raw.githubusercontent.com/offense-research/offense/main/.agents/skills/scanning-with-offense/SKILL.md
Reuse an existing reviewed Offense checkout or connection if available. Otherwise inspect the public source before using its helpers. Install the skill in this agent's project-local skill directory, preserving custom files and other agent settings. Tell me if a new session or project trust is needed.
Run only the offline dependency-input preview. Show the selected lockfiles, unsupported inputs and which execution mode would perform the real audit. Do not upload data, run a paid scan, install the target project's dependencies, edit application code, commit or push.
The first success is a real preview and an explicit scope, not “installed” without a command result. The agent needs terminal/filesystem access and Node; copying a skill does not give a chat-only client those capabilities. If it cannot read GitHub pages, use the raw skill URL or a reviewed local checkout.
Already configured? Ask: “Use Offense to check my app for security problems, explain the findings and consequences, and help me decide what to fix.” Offense infers relevant checks from the project, reports missing coverage, and asks only for the inputs or authorization those checks need. Assessment alone does not authorize application edits or paid calls. Narrow dependency and local-only requests keep their scope.
Start with one of the task prompts below. Prefer manual setup? Use the per-agent instructions.
Recipes from the landing page
Codex plugin
The native plugin is built from the same maintained skill and CLI in this repo. To try a local checkout with Codex:
codex plugin marketplace add /absolute/path/to/offensecodex plugin add offense@offense
Start a new Codex session, then ask $offense:offense to check your app and explain the findings. Installing does not log in, scan, buy credit or register MCP. The plugin reuses existing connections or its bundled CLI. Codex owns updates; credentials stay in the CLI's private configuration. If you already installed a manual Offense skill, choose which entry point to keep; customized skills and project instructions are never removed automatically.
Once these files are published on the repository's default branch, the intended remote registration is codex plugin marketplace add offense-research/offense, followed by codex plugin add offense@offense. The local path has been smoke tested; the remote command requires verification against that published ref. Public OpenAI directory listing is a separate submission, not part of this build.
Put the examples on offense.sh to work. Each recipe includes an agent prompt, prerequisites, commands, approval boundaries and the evidence to return. Start with a single reviewed run before adding recurring automation.
| Build or run | Recipe |
|---|---|
| Your dependency bot / a pre-release audit | Audit dependencies and verify reviewed upgrades |
| Your first reviewer | Review a PR with source evidence |
| Your secrets guard | Check staged or tracked contents without confusing the snapshots |
| A SQL-injection review | Trace request input, parameterize and test |
| Your CI reviewer | Review Actions YAML without executing workflows |
| Your API tester | Exercise a disposable local API with bounded requests |
These are recipes for your agent, not installed schedules, hooks or bots. Local scanners need their pinned engines; hosted Gitleaks needs availability, upload approval and a spending ceiling. See the shared setup and limits.
What you can do
- Find vulnerable dependencies. Inventory npm/pnpm lockfiles, query OSV advisories and inspect upgrade options with the independent local engine.
- Give your agent actionable context. Produce structured findings and a repository-specific remediation prompt; use explicit triage and rehearsal commands when you need deeper evidence.
- Check source and GitHub Actions workflows. Run pinned Opengrep and Zizmor engines through the self-hosted API/MCP profile in isolated Docker containers.
- Discover tools before running them. Inspect coverage, supported inputs, availability and price quotes. A directory listing is not a promise that a tool is enabled on your deployment.
- Use the same job workflow across clients. Submit bounded jobs, retrieve results and preserve partial/failed outcomes through the CLI, MCP or HTTP API.
Offense is not an autonomous permission grant. A finding is not a confirmed exploit, an advisory match is not proof of reachability, and a partial scan is not a clean bill of health. Your agent remains responsible for reviewing changes and obtaining authorization before active testing, paid calls or publication.
From a finding to a reviewed fix
See From a finding to a reviewed fix.
Ask for the outcome you want
See Ask for the outcome you want.
What your agent should read and return
See What your agent should read and return.
Export a PDF report locally
See Export a PDF report locally.
Choose how to run it
| Mode | Best for | Requirements | Execution and cost |
|---|---|---|---|
| Local dependency engine | Auditing a project from your terminal or coding agent | Node.js 24+, npm; no Docker or Offense account for dependency analysis | Runs on your machine; queries public OSV/npm metadata; no Offense usage charge |
| Self-hosted platform | Running your own API, MCP endpoint and isolated source scanners | Linux amd64, Node.js 24+, npm, Git and Docker Engine | Your infrastructure; dependency audits, Opengrep and Zizmor enabled; Offense billing disabled |
| Hosted service | Using managed tool execution without operating the scanner infrastructure | An Offense account for authenticated tools | Runs on the service; enabled paid tools use quoted prepaid credit |
The local engine and self-hosted profile do not require an Offense subscription or model-provider key. Advisory lookup still needs network access; “local” does not mean an offline advisory database. You pay your own infrastructure costs when self-hosting.
Install the CLI
See Install the CLI.
Homebrew — macOS and Linux
See Homebrew — macOS and Linux.
Stable GitHub release — Node.js 20+
See Stable GitHub release — Node.js 20+.
Ubuntu and Arch Linux
See Ubuntu and Arch Linux.
npx / npm exec — run without a global install
See npx / npm exec — run without a global install.
npm — install the command globally
See npm — install the command globally.
pnpm or Bun — one-off execution
See pnpm or Bun — one-off execution.
From a reviewed checkout — no package manager install
See From a reviewed checkout — no package manager install.
After installation
See After installation.
Quick start: local dependency analysis
Use Node.js 24 or newer, npm and Git. This path does not start a server, install Docker scanners or require an account.
git clone https://github.com/offense-research/offense.gitcd offense npm --prefix offense ci --ignore-scripts
Inspect the runtime and preview supported dependency inputs without network calls.
node offense/bin/offense.mjs doctor /absolute/path/to/your-project node offense/bin/off
Nur der Anfang wird gezeigt; den Rest findest du im Repo