Bugsy

Bugsy è uno strumento a riga di comando (CLI) che fornisce la correzione automatica delle vulnerabilità di sicurezza per il tuo codice. È la versione community di Mobb, il primo strumento di correzione automatica delle vulnerabilità di sicurezza indipendente dal fornitore. Bugsy è progettato per aiutare gli sviluppatori a identificare e correggere rapidamente le vulnerabilità di sicurezza nel loro codice.

Cos'è Mobb?

Mobb è il primo strumento di correzione automatica delle vulnerabilità di sicurezza indipendente dal fornitore. Ingestisce i risultati SAST di Checkmarx, CodeQL (GitHub Advanced Security), OpenText Fortify e Snyk e produce correzioni di codice pronte per essere revisionate e integrate dagli sviluppatori.

Cosa fa Bugsy?

Bugsy ha due modalità: Scansione (nessun report SAST richiesto) e Analisi (l'utente deve fornire un report SAST pre-generato da uno degli strumenti SAST supportati).

Scansione

Utilizza gli strumenti CLI di Checkmarx o Snyk per eseguire una scansione SAST su un repository open-source GitHub/GitLab/ADO
Analizza il report delle vulnerabilità per identificare i problemi che possono essere corretti automaticamente
Produce le correzioni di codice e reindirizza l'utente alla pagina del report delle correzioni sulla piattaforma Mobb

Analisi

Analizza un report di vulnerabilità Checkmarx/CodeQL/Fortify/Snyk per identificare i problemi che possono essere corretti automaticamente
Produce le correzioni di codice e reindirizza l'utente alla pagina del report delle correzioni sulla piattaforma Mobb

Dichiarazione di non responsabilità

Questa è una versione community che analizza solo repository GitHub pubblici. L'analisi di repository privati è consentita per un periodo di tempo limitato. Bugsy non rileva alcuna vulnerabilità nel tuo codice; utilizza i risultati rilevati dagli strumenti SAST sopra menzionati.

Utilizzo

Interfaccia a riga di comando

Puoi eseguire Bugsy semplicemente dal terminale usando npx:

npx mobbdev

Questo mostrerà l'aiuto sull'uso di Bugsy:

Bugsy - Trusted, Automatic Vulnerability Fixer 🕵️‍♂️

Usage:
mobbdev <command> [options]


Commands:
  mobbdev scan     Scan your code for vulnerabilities, get automated fixes right away.
  mobbdev analyze  Provide a vulnerability report and relevant code repository, get automated fixes right away.

Options:
  -h, --help  Show help                                                                                        [boolean]

Examples:
  mobbdev scan -r https://github.com/WebGoat/WebGoat  Scan an existing repository

Made with ❤️ by Mobb

Per eseguire una nuova scansione SAST su un repository e ottenere correzioni, esegui il comando Bugsy Scan. Esempio:

npx mobbdev scan --repo https://github.com/mobb-dev/simple-vulnerable-java-project

Per ottenere correzioni per un report SAST pre-generato, esegui il comando Bugsy Analyze. Esempio:

npx mobbdev analyze --scan-file sast_results.json --repo https://github.com/mobb-dev/simple-vulnerable-java-project

Bugsy genererà automaticamente una correzione per ogni vulnerabilità supportata identificata nei risultati e inviterà lo sviluppatore a revisionare e integrare le correzioni nel proprio codice.

Per vedere tutte le opzioni consentite da Bugsy, usa i comandi Scan o Analyze con l'opzione -h:

npx mobbdev scan -h
npx mobbdev analyze -h

Server Model Context Protocol (MCP)

Bugsy può essere utilizzato anche come server MCP, consentendo ad assistenti AI come Claude di scansionare e correggere automaticamente le vulnerabilità nei tuoi repository di codice.

Prerequisiti

Chiave API: È necessaria una chiave API Mobb per utilizzare la funzionalità del server MCP
- Registrati su mobb.ai per ottenere la tua chiave API
- Imposta la variabile d'ambiente API_KEY: export API_KEY=la_tua_chiave_api
Repository Git locale: Il server MCP analizza repository git con modifiche non ancora commitate
- Assicurati che il tuo codice sia in un repository git locale
- Assicurati di avere file modificati, aggiunti o in staging da analizzare

Installazione

Esegui mobb-mcp dal terminale:

npx mobbdev mcp

Configurazione

Aggiungi Mobb MCP alla configurazione del client MCP di Cursor: API_URL è necessario solo se non stai usando https://app.mobb.ai

{
  "mcpServers": {
    "mobb-mcp": {
      "command": "npx",
      "args": ["mobbdev", "mcp"],
      "env": {
        "API_KEY": "la_tua_chiave_api_mobb",
        "API_URL": "opzionale__il_tuo_url_api_mobb",
        "MVS_AUTO_FIX": "true"
      }
    }
  }
}

Variabili d'ambiente:

API_KEY: La tua chiave API Mobb (obbligatoria)
API_URL: URL API Mobb personalizzato (opzionale, default: https://app.mobb.ai)
MVS_AUTO_FIX: Sovrascrive l'impostazione di correzione automatica - impostare su "true" o "false" per forzare l'abilitazione/disabilitazione dell'applicazione automatica della correzione indipendentemente dall'impostazione nel database dell'utente (opzionale)

Utilizzo

Una volta configurato, puoi utilizzare il server MCP tramite il tuo assistente AI:

Chiedi a Claude di scansionare le vulnerabilità:
```
esegui una scansione con mobb-mcp
```
oppure
```
esegui lo strumento mcp fix-vulnerabilities
```
Il server MCP farà quanto segue:
- Convalidare il percorso del repository
- Verificare la presenza di modifiche git (file modificati, aggiunti o in staging)
- Caricare i file modificati per l'analisi
- Generare correzioni automatiche per le vulnerabilità rilevate
- Restituire raccomandazioni dettagliate per le correzioni

Strumenti MCP disponibili

fix_vulnerabilities: Analizza le modifiche correnti al codice e restituisce correzioni per potenziali vulnerabilità
- Parametro: path (stringa) - Il percorso del repository git locale
- Restituisce: Correzioni dettagliate per le vulnerabilità con patch di codice e spiegazioni

Esempio di flusso di lavoro MCP

Apporta modifiche al tuo codice
Metti in staging o modifica i file in git
Chiedi al tuo assistente AI: "Puoi controllare il mio codice per vulnerabilità di sicurezza?"
L'assistente utilizzerà il server MCP per analizzare le tue modifiche
Riceverai raccomandazioni dettagliate per le correzioni con patch di codice

Risoluzione dei problemi

"API_KEY environment variable is not set": Assicurati di aver impostato la tua chiave API Mobb
"Path is not a valid git repository": Assicurati di puntare a un repository git valido
"No changed files found": Assicurati di avere file modificati, aggiunti o in staging nel tuo repository

Utilizzare Bugsy in una pipeline CI/CD

Se utilizzi scansioni SAST come parte della pipeline CI/CD, Bugsy può essere facilmente aggiunto per fornire una correzione immediata per ogni problema rilevato. Ecco un semplice esempio di riga di comando che eseguirà Bugsy nella tua pipeline:

npx mobbdev analyze --ci --scan-file $SAST_RESULTS_FILENAME --repo $CI_PROJECT_URL --ref $CI_COMMIT_REF_NAME --api-key $MOBB_API_KEY

Modalità polling

Per impostazione predefinita, Bugsy utilizza connessioni WebSocket per aggiornamenti di stato in tempo reale durante l'analisi. Tuttavia, alcuni ambienti proxy o firewall potrebbero bloccare le connessioni WebSocket. In questi casi, puoi utilizzare il flag --polling per utilizzare il polling HTTP:

npx mobbdev analyze --scan-file report.json --repo https://github.com/org/repo --polling

Quando utilizzare --polling:

La tua rete blocca le connessioni WebSocket (ws:// o wss://)
Sei dietro un proxy aziendale che non supporta WebSocket
Si verificano timeout di connessione con la modalità WebSocket predefinita

Caratteristiche del polling:

Intervallo di polling: 5 secondi
Timeout: 30 minuti
Latenza leggermente superiore rispetto alla modalità WebSocket, ma funziona in ambienti con restrizioni

Contributi

Installa le dipendenze ed esegui i test:

pnpm install

# oppure usa npm run build:dev per monitorare le modifiche
pnpm run build

# oppure usa npm test:watch per monitorare le modifiche
pnpm run test

Debug

Se utilizzi VSCode, puoi usare il file launch.json per eseguire il debug del codice. Esegui la configurazione CLI tests per eseguire e debuggare continuamente i test.

Supporto

Se hai bisogno di supporto per l'uso di Bugsy o semplicemente vuoi condividere le tue idee e saperne di più, sei più che benvenuto nel nostro server Discord.

bugsy

Più Popolari