AI AppSec

Name: AI AppSec
Author: subodhkc

von subodhkcVersion 0.1.0i★ –iLäuft auf deinem Computer

Name in der Registryio.github.subodhkc/ai-appsec

Installieren

Überblick

Beschreibung vom Entwickler (englisches Original)

Evidence-backed AppSec for AI applications and agents. Powered by HAIEC.

Die drei Säulen von PopNx MCP

Diese drei werden nie zu einer Punktzahl zusammengefasst: Meinungen, Messungen und Beliebtheit sind verschiedene Dinge.

Stimmen der NutzeriNoch keine BewertungenBewertungen starten in einem späteren Schritt zusammen mit Benutzerkonten
Unsere Basischecksi1 von 1 bestandenAnhand öffentlicher Informationen geprüft; Code noch nicht gescannt
NutzungiNoch nicht gemessen★ –

Was du damit machen kannst

Für diesen Server haben wir noch keine Zusammenfassung in einfacher Sprache geschrieben. Unten stehen die Fakten, die wir aus der Registry gelesen haben.

Verbindung: Läuft auf deinem Computer
Transport: stdio
Kategorie: Sonstiges

Installation

Wähle die KI-App, die du nutzt, und kopiere die Einstellungen.

Bevor du installierst

Basischecks: 1 von 1 bestanden
Läuft auf deinem Computer mit den Rechten deines Benutzerkontos (Dateien, Netzwerk, Apps).
Die Registry nennt keinen Schlüssel zum Eintragen.

Du brauchst

npmNode.js installiert (für den Befehl npx)

Welche App nutzt du?

ClaudeClaude CodeCursorVS CodeChatGPT

Wähle oben deine App. Wir merken sie uns, damit der Button beim nächsten Mal „In … installieren“ anzeigt.

Öffne Claude Desktop → Settings → Developer → Edit Config und füge dies in claude_desktop_config.json ein

{
  "mcpServers": {
    "ai-appsec": {
      "command": "npx",
      "args": [
        "-y",
        "ai-appsec"
      ]
    }
  }
}

Führe das in deinem Terminal aus

claude mcp add ai-appsec -- npx -y ai-appsec

In Cursor öffnen

Oder kopier die Einstellungen selbst

In .cursor/mcp.json in deinem Projekt oder in ~/.cursor/mcp.json einfügen

{
  "mcpServers": {
    "ai-appsec": {
      "command": "npx",
      "args": [
        "-y",
        "ai-appsec"
      ]
    }
  }
}

Dein Browser fragt, ob er die App öffnen darf, dann zeigt die App die Einstellungen und bittet dich um Bestätigung. Schlüsselwerte bleiben leer, damit du sie selbst einträgst.

In VS Code öffnen

Oder kopier die Einstellungen selbst

In .vscode/mcp.json in deinem Projekt einfügen

{
  "servers": {
    "ai-appsec": {
      "type": "stdio",
      "command": "npx",
      "args": [
        "-y",
        "ai-appsec"
      ]
    }
  }
}

Dein Browser fragt, ob er die App öffnen darf, dann zeigt die App die Einstellungen und bittet dich um Bestätigung. Schlüsselwerte bleiben leer, damit du sie selbst einträgst.

Dieser Server läuft auf deinem Computer, und ChatGPT kann sich nur mit Servern im Internet verbinden. Wähle eine andere App.

Deine Auswahl bleibt in einem Cookie auf diesem Gerät; kein Konto nötig.

Diese Einstellungen werden aus dem Registry-Eintrag des Entwicklers erzeugt. Wenn in der README etwas anderes steht, folge der README.

Was er kann

Läuft auf deinem Computer; die Tool-Liste erscheint nach der Installation in deiner KI-App.

Basischecksi

Wir prüfen Informationen, die jeder sehen kann; den Code haben wir nicht gelesen. Checks, die nicht zutreffen, werden nicht mitgezählt. · Geprüft am 7. Nov. 2026

✓ Bestanden
Entwickler passt zum Repo
Der Registry-Name wurde mit dem GitHub-Konto subodhkc bestätigt, dem das Repo gehört
… Noch nicht geprüft
Wird noch gepflegt
Dieses Repo haben wir noch nicht von GitHub gelesen
… Noch nicht geprüft
Hat eine Lizenz
Dieses Repo haben wir noch nicht von GitHub gelesen
– Nicht zutreffend
Endpunkt antwortet
Dieser Server läuft auf deinem Computer; es gibt keinen Endpunkt im Internet
– Nicht zutreffend
Anmeldung mit OAuth
Läuft auf deinem Computer und nutzt stattdessen lokale Einstellungen
… Noch nicht geprüft
Keine versteckten Anweisungen in Tool-Beschreibungen
Läuft auf deinem Computer; Tool-Listen können wir nur von Endpunkten im Internet lesen

Im Vergleich mit anderen in Sonstigesi

Mehr Sterne als 0 % der anderen 32589 Server in dieser Kategorie
Neuer in der Registry veröffentlicht als 29 % der anderen 32589 Server in dieser Kategorie
Basischecks gleich gut wie oder besser als bei 100 % der anderen 32589 Server in dieser Kategorie

Verglichen mit allen aktiven Servern dieser Kategorie in der Registry. Sterne zählen nur, wenn dem Herausgeber das Repo gehört.

Häufige Fragen

Ist AI AppSec sicher?

Er hat 1 von 1 zutreffenden Basischecks bestanden. Den Code haben wir nicht gelesen. Bevor du einen Schlüssel oder Token hinzufügst, sieh nach, welche Zugriffe der Server verlangt, und nutze einen Schlüssel, der nur die Berechtigungen hat, die du brauchst.

Welche Schlüssel oder Codes braucht er?

Die Registry nennt keinen erforderlichen Schlüssel, manche Server bitten dich aber bei der ersten Nutzung, dich anzumelden.

Läuft er auf meinem Computer oder in der Cloud?

Er läuft auf deinem Computer. Deine KI-App startet ihn bei Bedarf, und die Daten laufen nicht über die Server des Entwicklers (außer der Server ruft selbst einen Onlinedienst auf).

Wird er noch gepflegt?

Das GitHub-Repo wurde zuletzt – geändert, und die neueste Version (0.1.0) kam vor 3 Monaten in die Registry.

Welche Apps können ihn nutzen?

Apps, die MCP unterstützen, etwa Claude Desktop, Claude Code, Cursor und VS Code. Außerdem brauchst du Node.js auf deinem Computer.

Was kann ich stattdessen nutzen?

In derselben Kategorie: Spec Driven Development, Remote Desktop Commander, Detailing Manager

Alternativen

Server derselben Kategorie von anderen Entwicklern, sortiert nach Sternen.

So liest du eine Karte:★ GitHub-SterneiDrei Säulen: Bewertungen · Checks · NutzungiAktualisiert = neueste Version in der Registry veröffentlichti

Spec Driven Development

von formulahendry

MCP Server that facilitates spec-driven development workflows, not just Vibe Coding.

Läuft auf deinem Computer★ 440MITAktualisiert vor 14 Monaten

Installieren

Remote Desktop Commander

von desktop-commander

Remote Desktop Commander: use files, terminal and processes on your own computers from any AI app.

Läuft in der Cloud★ 211Aktualisiert gestern

Installieren

Detailing Manager

von RadoslavMoshev

Connect your auto detailing studio's tasks, cars, clients and revenue to Claude or ChatGPT.

Läuft auf deinem ComputerAktualisiert heute

Installieren

README vom Entwickler

README öffnen

Unverändert aus dem Repo des Entwicklers übernommen. PopNx MCP hat den Inhalt weder geprüft noch empfiehlt es ihn. HTML, Bilder und Skripte wurden entfernt. Links führen von dieser Website weg.

AI AppSec

Evidence-backed AppSec for AI applications and agents.

Audit AI code for security risks before you commit, push, merge, or deploy.

What AI AppSec Does

AI AppSec produces deterministic, reproducible static security evidence for AI-agent and AI-application source code. It uses Semgrep 1.173.0 as its execution engine with a bundled Public Core rulepack (122 detectors, 79 security checks).

Key properties:

Static analysis only — does not execute target code
No network required for normal scans (Semgrep setup may require network)
No HAIEC account or API key required
Deterministic evidence — Scan Receipts with SHA-256 digests
Fail-closed digests — rulepack/manifest verified at runtime
Proof-of-fix — rescan comparison with check-evaluation safety

Quick Start

# Install

npm install -g ai-appsec

Check Semgrep status

ai-appsec doctor

Install Semgrep engine (requires network)

ai-appsec setup

Start MCP server (stdio transport)

ai-appsec

Or use via npx without global install:

npx ai-appsec doctor

npx ai-appsec setup

Prerelease channel: @next tracks upcoming prereleases (e.g. ai-appsec@next).

When to Use It

Use scan_ai_security when a developer asks to:

"check this for security issues"
"audit this task before I push"
"review this change for security problems"
"scan this AI agent" or "scan this AI app"
"check my LLM application"
"security review this PR"
"is this safe to merge"
"check this before deployment"
"audit this code for vulnerabilities"
"run a security scan"
"check for security risks before commit"

scan_ai_security

The MCP tool scan_ai_security is the only tool implemented in v0.1.

It scans AI/LLM/agent application source code for security risks including:

Unsafe AI-output execution
Secrets exposure
RAG/model integration risks
Insecure AI API usage
Control gaps
Prompt/input-related risk signals

What scan_ai_security Does NOT Do

Does not provide complete AI system assurance
Does not provide runtime behavioral assurance
Does not provide compliance certification
Does not guarantee zero false positives
Does not prove root causes for concern families
Does not execute target code, install dependencies, or run package managers
Does not perform compliance assessment (compliance requires additional HAIEC evidence)

Findings

Findings are classified by:

Finding kind: PRESENCE, RISK_SIGNAL, CONTROL_GAP, VULNERABILITY
Severity: CRITICAL, HIGH, MEDIUM, LOW, INFO
Disposition: INFORMATIONAL, REVIEW, BLOCK

Security Concern Families

Security Concern Families summarize semantically compatible finding instances for decision-quality presentation. A concern family is a deterministic grouping view — it is NOT necessarily one vulnerability, one material issue, or one root cause. Underlying finding instances remain auditable.

Concern family count is not a vulnerability count. Top 20 / Top 50 are presentation limits, not evidence limits.

COMPLETE / PARTIAL / ERROR

COMPLETE: All supported files in scope were successfully analyzed.
PARTIAL: Some supported files could not be analyzed (e.g., parser failures). PARTIAL scans cannot prove absence of findings. Missing evidence is never interpreted as PASS.
ERROR: The scan could not complete due to an engine error.

Coverage

AI AppSec provides explicit coverage accounting:

DISCOVERED: all files found beneath the target
INTENTIONALLY_EXCLUDED: files excluded by scope policy
UNSUPPORTED: files outside supported extensions (.py, .js, .jsx, .ts, .tsx)
TARGETED: supported files intended for analysis
ENGINE_REPORTED_SCANNED: files Semgrep reports as scanned
PARSE_FAILED: files with parse errors
SUCCESSFULLY_ANALYZED: scanned minus parse failures

Scan Receipt

Every scan produces a tamper-evident Scan Receipt with SHA-256 digests for:

Finding set
Concern family set
Coverage file sets
Evaluated security checks and detectors
Semantic receipt identity

COMPLETE scans produce reproducible receipts across processes and operating systems. PARTIAL scans preserve run-specific coverage differences.

Evidence Envelope

Each scan produces an Evidence Envelope that binds the receipt to the scan execution context, including:

Producer identity
Target identity (scan input digest, git commit, dirty state)
Execution status and completeness
Semantic receipt digest
Envelope digest

Proof-of-fix

Rescan a target after a fix to compare receipts. The proof-of-fix comparison is safe: it verifies that a specific security check's findings were resolved without requiring the entire scan to be identical.

Offline / Local Operation

Normal scanning operates fully offline after prerequisites are installed:

No HAIEC cloud access required
No account or API key required
No rule download during scanning
No telemetry emitted (Semgrep invoked with --metrics off)

Semgrep setup (ai-appsec setup) may require network access to install the engine. Once installed, all scanning is local.

Semgrep Prerequisite

scan_ai_security requires Semgrep 1.173.0 (exact version match).

# Check Semgrep status

ai-appsec doctor

Install managed Semgrep (requires network)

ai-appsec setup

Semgrep is NOT bundled with this package. It is an external engine installed separately. See THIRD_PARTY_NOTICES.md for details.

Limitations

Only scan_ai_security is implemented in v0.1
Static analysis only — no runtime behavioral evidence
No compliance certification or assessment
No tenant isolation checking (roadmap)
No LLM content verification (roadmap)
No deploy security gating (roadmap)

License

MIT License

See LICENSE for the full license text.

Security Reporting

If you believe you have found a security vulnerability:

Do not disclose it publicly before review.
Report via GitHub private vulnerability reporting.
For non-sensitive bugs, use GitHub Issues.

No bug bounty program exists at this time. This project is maintained by a small team. We appreciate responsible disclosure and patience.

Roadmap

Future HAIEC capabilities (not yet implemented in this package):

Tenant isolation checking (scan_tenant_isolation)
LLM/runtime content verification (verify_llm_content)
Deploy security gating (check_deploy_security)
Native deterministic dataflow analysis
Runtime evidence
Inventory evidence
Regulatory evidence
Compliance/assurance integration
Compliance Twin

These will remain independent products/engines. See the HAIEC architecture principle: one workflow, four independent checks.

HAIEC

AI AppSec is powered by HAIEC. HAIEC is the broader assurance platform that may combine ai-appsec evidence with runtime, inventory, regulatory, and external evidence for broader compliance and assurance in the future.

Founder-led development with HAIEC acting as the release gatekeeper for provenance, licensing, and publication.

Related Projects

LLMVerify — LLM content verification (independent product, separate repository)
Tenant Isolation — Cross-tenant boundary checks (independent product, separate repository)

Built by Subodh Kc — a HAIEC (Human AI Evidence Company) product.

AI AppSec

Überblick

Die drei Säulen von PopNx MCP

Was du damit machen kannst

Installation

Bevor du installierst

Was er kann

Basischecksi

Entwickler passt zum Repo

Wird noch gepflegt

Hat eine Lizenz

Endpunkt antwortet

Anmeldung mit OAuth

Keine versteckten Anweisungen in Tool-Beschreibungen

Im Vergleich mit anderen in Sonstigesi

Häufige Fragen

Alternativen

Spec Driven Development

Remote Desktop Commander

Detailing Manager

README vom Entwickler

AI AppSec

What AI AppSec Does

Quick Start

Check Semgrep status

Install Semgrep engine (requires network)

Start MCP server (stdio transport)

When to Use It

scan_ai_security

What scan_ai_security Does NOT Do

Findings

Security Concern Families

COMPLETE / PARTIAL / ERROR

Coverage

Scan Receipt

Evidence Envelope

Proof-of-fix

Offline / Local Operation

Semgrep Prerequisite

Install managed Semgrep (requires network)

Limitations

License

Security Reporting

Roadmap

HAIEC

Related Projects