プロトタイプ · プレビュー版：公式レジストリのすべてのサーバーを掲載し、30分ごとに同期しています。レビューとアカウント機能は今後のステップで始まります。
PopNx MCPAIを使う人のためのMCPサーバー · やさしい言葉で解説
初心者モード オン
配色システムに合わせるライトダーク
言語ไทยEnglish中文日本語한국어EspañolDeutsch
☰ メニュー設定
初心者モード オン
配色システムに合わせるライトダーク
言語ไทยEnglish中文日本語한국어EspañolDeutsch

TOPY.AI · AI CSO

作者：TOPY-AI-LTDバージョン 0.1.0i★ –iパソコンでもクラウドでも
レジストリ名ai.topy/cso

インストール

概要

作者による説明（英語の原文）

Founders' AI CSO: vulnerabilities, dependencies, secrets, verified-site checks, threat model, fixes.

PopNx MCPの3つの柱

この3つを1つのスコアにまとめることはしません。意見、測定、人気はそれぞれ別のものだからです。

できること

このサーバーのやさしい解説はまだ書いていません。以下はレジストリから読み取った事実です。

  • 接続方法: パソコンでもクラウドでも
  • トランスポート: stdio, Streamable HTTP
  • カテゴリ: その他
  • 入力が必要なもの：TOPY_API_KEY

インストール

使っているAIアプリを選んで、設定をコピーしてください。

インストールの前に

「秘密」と表示された値は、あなたのアカウントの鍵です。絶対に人に教えたり、チャットに貼り付けたりしないでください。

必要なもの

  • クラウドで動くインストール不要。インターネット経由でつながります
  • npmNode.jsのインストール（npxコマンドに必要）

どのアプリを使っていますか？

上でアプリを選んでください。選んだアプリを覚えておくので、次からはボタンに「…にインストール」と表示されます。

ウェブ、デスクトップ、モバイルのClaudeで使えます：

  1. Settings → Connectors を開く
  2. Add custom connector を押す
  3. 下のアドレスを貼り付けて Add を押す
  4. サインインを求められたら、作者のサービスにサインインする
SettingsConnectors1+ Add2https://…3
https://topy.ai/mcp/cso

または、パソコンで動かす

Claude Desktop → Settings → Developer → Edit Config を開き、claude_desktop_config.json にこれを貼り付けます

{
  "mcpServers": {
    "cso": {
      "command": "npx",
      "args": [
        "-y",
        "@topy-ai/cso-mcp"
      ],
      "env": {
        "TOPY_API_KEY": "your-value"
      }
    }
  }
}

ターミナルでこれを実行します

claude mcp add --transport http cso https://topy.ai/mcp/cso

または、パソコンで動かす

claude mcp add cso --env TOPY_API_KEY=your-value -- npx -y @topy-ai/cso-mcp

動かす前に、空欄の値を入力してください。

Cursorで開く

または、設定を自分でコピーする

プロジェクトの .cursor/mcp.json、または ~/.cursor/mcp.json に貼り付けます

{
  "mcpServers": {
    "cso": {
      "url": "https://topy.ai/mcp/cso"
    }
  }
}

または、パソコンで動かす

Cursorで開く

または、設定を自分でコピーする

プロジェクトの .cursor/mcp.json、または ~/.cursor/mcp.json に貼り付けます

{
  "mcpServers": {
    "cso": {
      "command": "npx",
      "args": [
        "-y",
        "@topy-ai/cso-mcp"
      ],
      "env": {
        "TOPY_API_KEY": "your-value"
      }
    }
  }
}

ブラウザがアプリを開いてよいか確認し、そのあとアプリが設定を表示して確認を求めます。キーの値は空欄のままなので、自分で入力してください。

VS Codeで開く

または、設定を自分でコピーする

プロジェクトの .vscode/mcp.json に貼り付けます

{
  "servers": {
    "cso": {
      "type": "http",
      "url": "https://topy.ai/mcp/cso"
    }
  }
}

または、パソコンで動かす

VS Codeで開く

または、設定を自分でコピーする

プロジェクトの .vscode/mcp.json に貼り付けます

{
  "servers": {
    "cso": {
      "type": "stdio",
      "command": "npx",
      "args": [
        "-y",
        "@topy-ai/cso-mcp"
      ],
      "env": {
        "TOPY_API_KEY": "your-value"
      }
    }
  }
}

ブラウザがアプリを開いてよいか確認し、そのあとアプリが設定を表示して確認を求めます。キーの値は空欄のままなので、自分で入力してください。

ChatGPTがつなげるのは、インターネット上のサーバーだけです：

  1. ウェブ版のChatGPTを開き → Settings → Connectors (Apps)
  2. Create または Add を押す（プランによっては、先に Advanced で Developer mode をオンにする必要があります）
  3. 下のアドレスを貼り付け、名前を付けて保存する
  4. サインインを求められたら、作者のサービスにサインインする
SettingsConnectors1+ Create2https://…3
https://topy.ai/mcp/cso

メニューの名前は、プランや時期によって少し違うことがあります。

選んだアプリは、この端末のCookieに保存されます。アカウントは不要です。

自分で入力する値

  • TOPY_API_KEY 秘密 env
    A TOPY API key (Dashboard → API keys); or run `npx @topy-ai/cso-mcp login` once instead.

この設定は、作者のレジストリ登録情報から作成しています。READMEと違う場合は、READMEに従ってください。

できること

このサーバーのツール一覧はまだ読み取っていません。エンドポイントは順番にチェックしています。

基本チェックi

誰でも見られる情報をチェックしており、コードは読んでいません。当てはまらない項目は数に入れていません。 · 2026年11月6日にチェック

  • ✓ 合格

    作者とリポジトリが一致

    レジストリ名はドメイン topy.ai で確認済みです（レジストリがドメインの所有を確認しています）

  • … 未チェック

    今もメンテナンスされている

    このリポジトリはまだGitHubから読み取っていません

  • … 未チェック

    ライセンスがある

    このリポジトリはまだGitHubから読み取っていません

  • … 未チェック

    エンドポイントが応答する

    まだチェックしていません。エンドポイントは順番にチェックしています

  • … 未チェック

    OAuthでサインイン

    まだチェックしていません。エンドポイントは順番にチェックしています

  • … 未チェック

    ツールの説明に隠れた指示がない

    まだチェックしていません。エンドポイントをチェックするときにツール一覧を読み取ります

その他のほかのサーバーとの比較i

  • このカテゴリのほかの32433件のうち0%よりスターが多い
  • このカテゴリのほかの32433件のうち77%より最近レジストリに公開
  • 基本チェックの結果が、このカテゴリのほかの32433件のうち100%と同じかそれ以上

レジストリでこのカテゴリにある有効なすべてのサーバーと比較しています。スターは、公開者がリポジトリの所有者である場合だけ数えます。

よくある質問

TOPY.AI · AI CSOは安全ですか？

当てはまる基本チェック1項目のうち1項目に合格しました。コードは読んでいません。キーやトークンを追加する前に、サーバーがどんなアクセスを求めているかを確認し、必要な権限だけを持つキーを使ってください。

どんなキーやコードが必要ですか？

入力が必要なもの：TOPY_API_KEY

パソコンで動きますか、それともクラウドですか？

どちらでも使えます。パソコンにインストールしても、クラウド版につないでもかまいません。

今もメンテナンスされていますか？

GitHubリポジトリの最終更新は–、最新バージョン（0.1.0）がレジストリに届いたのは10 日前です。

どのアプリで使えますか？

Claude Desktop、Claude Code、Cursor、VS CodeなどのMCP対応アプリで使えます。URLでつながるので、リモートMCPサーバーに対応したアプリ（開発者モードのChatGPTなど）でも使えます。

代わりに使えるものは？

同じカテゴリには：Spec Driven Development, Remote Desktop Commander, Symantec Cloud DLP AIops

代わりの候補

同じカテゴリで、ほかの作者が作ったサーバー。スターの多い順。

カードの見方：★ GitHubスターi3つの柱：レビュー · チェック · 利用状況i更新＝最新バージョンをレジストリに公開した日i

Remote Desktop Commander

作者：desktop-commander

Remote Desktop Commander: use files, terminal and processes on your own computers from any AI app.

クラウドで動く★ 211昨日更新
インストール

作者のREADME

READMEを開く

作者のリポジトリから書かれたとおりにコピーしたものです。PopNx MCPは内容を確認・推奨していません。HTML、画像、スクリプトは取り除いています。リンクはこのサイトの外へ移動します。

TOPY AI CSO Skills 19 skills that make your coding agent a small company's AI CSO: new CVEs and end-of-life dates for everything you run, no secrets in code, headers, TLS and safe scans of the domains you have verified, every skill and MCP server vetted before it is trusted, incident timelines and a weekly security report to the founder and the CEO — on the TOPY.AI CSO MCP server.

The AI CSO is goal-first. It keeps five standing goals — no open critical exposure (anything on CISA KEV or critical with a fix is fixed within days), zero secrets in code, verified-only active checks, nothing trusted unvetted (every new skill, MCP server and package checked first) and every incident with a timeline — and every skill below exists to move one of them.

  • Core (topy-ai-cso): connect, first setup (inventory, domain verification, host consent), the CSO's goals, the daily watch.
  • Vulnerabilities: are we affected by this CVE, dependencies and supply chain, end of life, vetting a package before install.
  • Code: secrets (rotate first, then remove), unsafe code patterns, a STRIDE threat model and the OWASP ASVS checklist.
  • Web: domain verification, headers and TLS, a safe scan of a verified site.
  • Agents: vet a skill or MCP server before it is installed (the App Factory gate), and audit your own MCP server.
  • Response: incident timelines, a fix plan with fix-risk tiers T1–T4, the weekly security report.

The safety model comes from Maggie Security and does not bend: the CSO never changes a server, firewall or website (fix and protection plans are for a person to review and apply), never scans a domain you have not verified, reads a server only after you grant consent yourself, by your own approval in the chat (an agent cannot), leaves checks of sites you don't control to a person (never a routine), never uses offensive techniques and never prints a secret. Changes take two calls — a preview, then your yes.

Install

npx @topy-ai/cso-skills install                  # this project, for the agents set up here

npx @topy-ai/cso-skills install -g --mcp # your user, plus the MCP server npx @topy-ai/cso-skills install --category vulnerabilities,web npx @topy-ai/cso-skills list

Claude Code plugins: /plugin marketplace add TOPY-AI-LTD/TOPY-AI-CSO-Skills, then /plugin install topy-ai-cso-all@topy-ai-cso. Codex: codex plugin marketplace add TOPY-AI-LTD/TOPY-AI-CSO-Skills. Pi: pi install npm:@topy-ai/cso-skills. See the installer README.

Connect TOPY.AI

https://topy.ai/mcp/cso — OAuth with your TOPY.AI account (the same one as the AI CEO, CFO and COO). Only the accounts that own the OneMan operation see its findings.

ClientHow
Claude, ChatGPT (web, desktop)custom connector https://topy.ai/mcp/cso
Claude Codeclaude mcp add --transport http topy-cso https://topy.ai/mcp/cso
Codexcodex mcp add topy-cso --url https://topy.ai/mcp/cso
Clients that only start a commandnpx -y @topy-ai/cso-mcp after npx @topy-ai/cso-mcp login
Terminal and scriptsnpm i -g @topy-ai/cso-cli && cso-cli login

Server checks (host-quick, host-audit) and passive checks of sites you don't control (public-check) are not on topy.ai: they need a person on OneMan, with host consent granted by the person's own approval in the chat.

How the skills fit together

topy-cso-connect ─▶ topy-cso-setup (inventory · domain verify · consent) ─▶ topy-cso-goals

│ daily 06:17: topy-cso-daily-watch ─▶ topy-cso-cve-response ─▶ topy-cso-incident ─▶ topy-cso-fix-plan │ topy-cso-dependencies · topy-cso-end-of-life weekly Mon 07:23: topy-cso-weekly-report ─▶ the founder (email) and the CEO │ before code ships: topy-cso-secrets · topy-cso-code-scan · topy-cso-threat-model web (verified domains): topy-cso-domain-verify ─▶ topy-cso-web-checks ─▶ topy-cso-web-scan before you trust it: topy-cso-package-vet · topy-cso-vet-skill · topy-cso-mcp-audit

Try: *"Anything new I should worry about?"*, *"Are we affected by CVE-2026-…?"*, *"Did a key leak?"*, *"Is this MCP server safe to install?"*, *"Send the weekly security report"*

Packages

PackageWhat it is
@topy-ai/cso-skillsThis installer (Claude Code, Codex, Pi, Cursor, Gemini CLI, …)
@topy-ai/cso-mcpThe CSO MCP server as a local stdio server (forwards to https://topy.ai/mcp/cso)
@topy-ai/cso-cliThe AI CSO on the command line

Repository structure

plugins/

topy-ai-cso/ core skills + .mcp.json (Claude Code) and mcp.json (Codex) topy-ai-cso-vulnerabilities/ topy-ai-cso-code/ topy-ai-cso-web/ topy-ai-cso-agents/ topy-ai-cso-response/ topy-ai-cso-all/ bundle that depends on all six .claude-plugin/marketplace.json Claude Code marketplace .agents/plugins/marketplace.json Codex marketplace skills.json machine-readable catalogue packages/skills/ the @topy-ai/cso-skills installer

The skills are generated from a source catalogue kept next to TOPY.AI's MCP server; the build checks every tool a skill names against the CSO server's tool list. Please open an issue rather than editing a SKILL.md.

License

MIT © TOPY AI LTD. Privacy: topy.ai/privacy.

Skills

19 skills in 6 plugins, plus the topy-ai-cso-all bundle. Generated from the source catalogue: please open an issue rather than editing a SKILL.md.

AI CSO core (MCP) · topy-ai-cso
SkillTierWhat it does
topy-cso-connectcoreConnect the TOPY CSO MCP server and check what applies: the project's stack, verified domains, granted hosts, tools and feeds.
topy-cso-daily-watchcoreEvery morning: new CVEs, advisories and end-of-life dates for everything the company runs, matched to the stack — quiet unless something new needs a person.
topy-cso-goalscoreThe AI CSO's standing goals and its status report for the CEO: open critical exposure, secrets in code, verified-only checks, vetted skills and MCP servers, incident timelines.
topy-cso-setupcoreFirst run for a new company or site: inventory the stack, verify each domain you own, and explain host consent — so every later check is allowed and complete.
Vulnerabilities & supply chain · topy-ai-cso-vulnerabilities
SkillTierWhat it does
topy-cso-cve-responseconnectedA named CVE or advisory: are we affected, where, how urgent, and the response plan — with an incident timeline from start to close.
topy-cso-dependenciesconnectedKnown vulnerabilities in every lockfile ecosystem and in JavaScript copied into the site, prioritised, with the fixed versions.
topy-cso-end-of-lifeconnectedRuntimes, databases, web servers and operating systems that stopped (or will soon stop) getting security fixes, and what to upgrade to.
topy-cso-package-vetconnectedBefore adding a package: known vulnerabilities and malicious-package reports for that exact version, and a clear install / pin / don't install.
Code & secrets · topy-ai-cso-code
SkillTierWhat it does
topy-cso-code-scanconnectedUnsafe code patterns before they ship — injection, unsafe deserialisation, personal data in logs, weak crypto — with the safe pattern for each.
topy-cso-secretsconnectedKeys, tokens and passwords in the code, its git history and the build output — and the rotate-first fix for each.
topy-cso-threat-modelconnectedA STRIDE threat model of the system and an OWASP ASVS checklist filled from the findings — what could go wrong and how far we meet the standard.
Web surface · topy-ai-cso-web
SkillTierWhat it does
topy-cso-domain-verifyconnectedProve the company controls a domain (DNS TXT record or a token file) before any active check — the CSO never scans a site that isn't verified.
topy-cso-web-checksconnectedGrade a verified site's HTTP security headers and cookies (A+ to F) and its TLS (protocols, certificate trust and expiry), with the exact fix for each.
topy-cso-web-scanconnectedA safe, rate-limited vulnerability scan (known flaws, exposed files, misconfigurations) of a site the company has verified — never exploitation.
Agent & MCP security · topy-ai-cso-agents
SkillTierWhat it does
topy-cso-mcp-auditconnectedOWASP MCP checks on the company's own MCP tool registry: read-only hints, destructive tools behind confirmation, scopes, audit logging and hosts it may call.
topy-cso-vet-skillconnectedBefore a skill, plugin or MCP server is installed or published: prompt-injection, data exfiltration, over-broad permissions and risky tools — the App Factory security gate.
Response & reporting · topy-ai-cso-response
SkillTierWhat it does
topy-cso-fix-planconnectedTurn the findings into a reviewed runbook — each action tagged T1 (batch-safe) to T4 (stage first) — that a person reviews and runs. The CSO never applies it.
topy-cso-incidentconnectedRecord a security incident or CVE response from start to close — what happened, every step and who did it — so nothing is lost and the report writes itself.
topy-cso-weekly-reportconnectedEvery Monday: what is open by priority, what was fixed, what changed in the stack, and at most three actions — for the Founder by email and for the CEO.
PopNxに聞く