Security Recipes

Inteligencia de CVE de solo lectura, manuales de remediación y guías de configuración de agentes. No es un escáner.

Ver en security-recipes.ai

Documentación

Conéctate en 30 segundos

Añade el servidor alojado y de solo lectura de Security Recipes a cualquier cliente MCP que admita Streamable HTTP. No se requiere instalación local, Docker ni clave de API.

Pega la URL o el JSON en tu cliente MCP

Usa la URL cuando tu cliente tenga un formulario de "Añadir servidor", o el JSON cuando acepte un archivo de configuración.

solo lectura

URL del servidor

https://security-recipes.ai/mcp

JSON del cliente MCP

{
  "mcpServers": {
    "security-recipes": {
      "transport": "streamable-http",
      "url": "https://security-recipes.ai/mcp"
    }
  }
}
  1. Abre la configuración de servidores o integraciones de tu cliente MCP.
  2. Elige Streamable HTTP y pega la URL o el JSON de arriba.
  3. Recarga o reconecta el cliente y ejecuta recipes_server_info para confirmar la conexión.

Las etiquetas de los clientes varían. La guía de configuración completa a continuación cubre hosts locales, Docker, TOML, comprobaciones de salud y resolución de problemas.

Esta página cubre la capa de seguridad y contexto específica de MCP: roles del servidor, transportes, valores predeterminados de solo lectura, acceso a herramientas con alcance, despliegue y revisión de conectores. Para patrones de entrega que no son MCP, como recetas integradas, archivos de reglas nativos e inyección en CI, usa la arquitectura de integración de agentes de IA.

MCP permite que una aplicación de IA se conecte a contexto y herramientas externos mediante un protocolo estándar. Para la remediación de vulnerabilidades, úsalo para darle a un agente la evidencia que necesita para corregir un hallazgo: la receta, los datos de avisos, la salida del escáner, el contexto del repositorio y las reglas de revisión.

Valor predeterminado más seguro: comienza en modo de solo lectura. Trata las herramientas MCP con capacidad de escritura, despliegue o ejecución de comandos como una revisión de seguridad separada.

Revisado por última vez contra la especificación pública de MCP 2026-07-28 y la implementación mcp_server.py de este repositorio el 21 de agosto de 2026. Verificado de nuevo el 23 de agosto de 2026: 2026-07-28 sigue siendo la versión vigente y sin estado. No hay protocolo de enlace initialize. Cada solicitud lleva la versión del protocolo, la identidad del cliente y las capacidades. Las revisiones de Streamable HTTP hasta 2025-11-25 podían asignar Mcp-Session-Id; esta revisión ignora esa cabecera y no genera ID de sesión. 2025-11-25 sigue siendo una revisión final anterior. El perfil de conformidad de protocolo existente sigue siendo mcp-authorization-2025-11-25. Eso es un ID de paquete, no una afirmación de que 2025-11-25 siga siendo la especificación vigente.

El servidor opcional de recetas FastMCP de este repositorio permanece en modo de solo lectura. El puente ascendente opcional en mcp_server.py sigue usando RECIPES_MCP_PROTOCOL_VERSION con valor predeterminado 2025-06-18, sigue enviando un protocolo de enlace initialize y sigue almacenando Mcp-Session-Id para Streamable HTTP heredado. Ese es un valor predeterminado de compatibilidad, no una afirmación de especificación vigente. No cambies el valor predeterminado a 2026-07-28 sin implementar server/discover y eliminar initialize.

MCP en un minuto

El Model Context Protocol es un estándar abierto para conectar aplicaciones de IA a sistemas externos. La página pública de especificación actual identifica la versión 2026-07-28 como la versión vigente del protocolo.

Los roles principales son:

RolSignificado
HostLa aplicación de IA en la que trabaja un usuario, como un IDE, un asistente de escritorio o un asistente de navegador.
ClienteEl conector dentro de ese host que habla MCP.
ServidorEl programa o servicio que expone contexto y capacidades.

Los servidores MCP pueden exponer:

Característica del servidorÚsala paraEjemplo de remediación
HerramientasFunciones invocadas por el modelo con esquemas de entrada.Buscar recetas, obtener una alerta SARIF, consultar una fuente de avisos aprobada.
RecursosContexto seleccionado por la aplicación identificado por URI.Adjuntar un SBOM de paquete, un archivo de políticas o un documento fuente.
PromptsFlujos de trabajo reutilizables o plantillas de mensajes.Iniciar una actualización de dependencias o un flujo de triaje SAST con instrucciones coherentes.

MCP usa JSON-RPC. Los transportes estándar son stdio y Streamable HTTP. Usa Streamable HTTP para servidores alojados o accesibles desde el navegador. Usa stdio cuando el cliente inicie un subproceso local.

Pila de contexto recomendada

Comienza con tres capas. Añade más solo cuando el hallazgo lo requiera.

CapaPropósitoEjemplos
Contexto de recetaIndica al agente cómo debe manejarse esta clase de corrección.Índice de recetas de security-recipes.ai, página de receta coincidente, SECURITY_RECIPES.md local.
Contexto del hallazgoExplica la vulnerabilidad o alerta específica.OSV, deps.dev, datos de GitHub Advisory, Snyk, Semgrep, CodeQL, SARIF, SBOM.
Contexto del repositorioPermite al agente inspeccionar código y evidencia.GitHub, GitLab, Azure DevOps, registros de CI, protecciones de rama, CODEOWNERS, runbooks.

Un agente no necesita todos los conectores para cada tarea. Una actualización de dependencias puede necesitar solo la receta, los metadatos del paquete, el archivo de bloqueo y el CI. Una remediación SAST puede necesitar la alerta SARIF, el archivo fuente afectado, las pruebas relacionadas y la regla de codificación segura.

Contexto de solo lectura

El contexto de solo lectura significa que el agente puede recuperar evidencia, pero la capa de contexto no le otorga autoridad de mutación. El agente puede buscar recetas, obtener un hallazgo del escáner, leer un aviso, inspeccionar un archivo del repositorio o recopilar el estado del CI. No debe crear tickets, enviar ramas, editar secretos, rotar claves, desplegar, descartar alertas ni escribir de vuelta en sistemas fuente a través del mismo conector.

Esa separación importa porque la recopilación de contexto es de alto volumen y bajo riesgo, mientras que la mutación es donde los errores de autorización se vuelven duraderos. Mantén el perfil MCP predeterminado en solo lectura y enruta las herramientas con capacidad de escritura a través de una ruta de aprobación separada.

Para una ejecución de remediación, un paquete de contexto de solo lectura suele incluir:

  • la receta seleccionada y sus condiciones de detención;
  • el hallazgo, alerta, CVE, GHSA, paquete, regla o par fuente/destino específico;
  • archivos fuente afectados, manifiestos, archivos de bloqueo, SBOM, SARIF y registros de CI;
  • políticas de propiedad y revisión relevantes, como CODEOWNERS o protección de ramas;
  • requisitos de evidencia generada que el PR debe cumplir.

Si un flujo de trabajo realmente necesita mutación, divide el flujo: usa MCP de solo lectura para recopilar contexto primero y luego solicita una concesión de escritura más limitada vinculada a una acción, un repositorio, una rama, un ticket o una ruta de salida. El paso de revisión debe poder ver qué concesión se usó y por qué.

Servidor MCP de Security Recipes

Este repositorio incluye un servidor FastMCP opcional en mcp_server.py. Es un servidor de conocimiento de solo lectura para security-recipes.ai.

Expone herramientas MCP que permiten a los clientes compatibles:

Grupo de herramientasQué haceEjemplos
Metadatos del servidor y cachéInspecciona la configuración y actualiza el índice de recetas en memoria.recipes_server_info, recipes_refresh
Búsqueda y recuperación de recetasBusca, lista, obtiene y empareja recetas con un hallazgo.recipes_search, recipes_list, recipes_get, recipes_match_finding
Calidad de recetasPuntúa recetas de descubrimiento y nombra entradas faltantes, orientación de selección, contratos de salida, verificación o salvaguardas.recipes_quality_report
Inteligencia del catálogo CVEBusca en el catálogo rotativo de severidad Media/Alta/Crítica y obtiene un registro normalizado más su plan de cambio agéntico.recipes_cve_catalog_info, recipes_cve_search, recipes_cve_get
Planificación de playbooksLista los 75 playbooks publicados y devuelve un plan de inicio acotado para un hallazgo.recipes_playbooks_list, recipes_playbook_get, recipes_playbook_plan
Política de control y puerta de enlaceDevuelve paquetes de política de flujo de trabajo y puerta de enlace MCP generados.recipes_workflow_control_plane, recipes_mcp_gateway_policy
Evidencia de agente y contexto seguroDevuelve paquetes generados de confianza, identidad, autorización, telemetría, incidentes y garantía.recipes_agentic_assurance_pack, recipes_agent_identity_ledger, recipes_secure_context_trust_pack
Evidencia de gobernanza MCPDevuelve paquetes de ingesta de conectores, autorización, elicitación, límite stdio, riesgo de herramientas y deriva.recipes_mcp_connector_intake_pack, recipes_mcp_authorization_conformance_pack, recipes_mcp_tool_risk_contract
Descubrimiento de servidores MCP públicosBusca e inspecciona el catálogo incluido de servidores MCP documentados oficialmente listados en esta página.recipes_mcp_servers_list, recipes_mcp_server_get
Puente ascendente opcionalLista servidores MCP ascendentes configurados, inspecciona herramientas, llama a herramientas permitidas y recopila contexto acotado.recipes_mcp_upstream_servers, recipes_mcp_upstream_tools, recipes_mcp_upstream_call, recipes_mcp_upstream_context

La lista exacta de herramientas está disponible a través de la vista tools/list de tu cliente MCP. Este repositorio define actualmente 75 herramientas recipes_*. Una comprobación falla si este recuento publicado se desvía de los registros @mcp.tool() en mcp_server.py.

recipes_cve_get está limitado por evidencia. Sigue una anulación Markdown estable cuando exista. Trata un plan compuesto como una salvaguarda, no como un piso específico del producto. Cuando un registro del catálogo tiene un enriquecimiento de IA completo y específico y no hay una anulación estable, la herramienta adjunta ese enriquecimiento como recommended_recipe.ai_enrichment con role: evidence-qualified-guidance y not_a_stable_override: true. No es un piso con nombre y no cambia recommended_source de composed-agentic-plan. Los borradores de CVE en desarrollo permanecen sin indexar y no son anulaciones del catálogo; el texto de versión sobrante o una etiqueta siguiente adivinada nunca es una corrección con nombre. El catálogo de la rama publica actualmente 37 páginas CVE indexables por búsqueda (33 estables, 4 calificadas por IA). El MCP de producción sigue sirviendo la última imagen desplegada hasta que esta rama se fusione.

El servidor MCP incluye el directorio de servidores públicos documentado a continuación como datos de descubrimiento validados. Un cliente MCP puede llamar a recipes_mcp_servers_list para buscarlo por proveedor o capacidad (por ejemplo, cloud observability) y luego llamar a recipes_mcp_server_get para obtener la URL de configuración oficial, las expectativas de autenticación y el valor predeterminado más seguro. La inclusión en el catálogo no conecta, instala, autentica ni respalda un servidor de terceros; los operadores deben revisar y configurar cualquier ascendente por separado.

Qué no es

El servidor MCP de Security Recipes no es un escáner, un escritor de tickets, un sistema de despliegue ni un ejecutor de comandos de propósito general. Su trabajo predeterminado es recuperar recetas y evidencia generada. Si añades servidores MCP ascendentes, mantén ese puente en solo lectura a menos que una revisión separada apruebe la mutación.

¿Qué endpoint debería usar?

SituaciónEndpoint
Este repositorio ejecutándose con Docker Compose en tu máquinahttp://localhost/mcp
Imagen MCP Docker independiente mapeada con -p 8123:80http://localhost:8123/mcp
Una instancia Docker/nginx desplegada de este sitiohttps://YOUR-HOST/mcp
Un host de sitio solo estáticoSin endpoint MCP; ejecuta el servidor MCP por separado.

Abrir /mcp en un navegador normal puede mostrar un error de método MCP o HTTP. Eso es esperado. Los clientes MCP se conectan enviando mensajes JSON-RPC a través del transporte seleccionado.

¿Ejecutando en CI en lugar de un cliente de chat? La GitHub Action de Security Health se conecta a este servidor MCP automáticamente y convierte el contexto de recetas en comprobaciones de salud de pull request activables.

Configura este servidor MCP de Security Recipes

Usa los valores a continuación para la página que estás viendo ahora. Se actualizan desde el host actual del navegador, por lo que un puerto Docker local como 127.0.0.1:18080, una ejecución local simple de localhost y el sitio alojado security-recipes.ai producen la URL de cliente y los metadatos públicos correctos.

Detección de host

Preparando detalles del endpoint MCP para este despliegue.

dinámico

URL del cliente MCP ...

Fuente de recetas ...

Lista de permitidos de fuentes ...

JSON del cliente MCP

{}

Entorno de Docker Compose

RECIPES_MCP_SOURCE_INDEX_URL=...

mcp-server.toml\ independiente

source_index_url = "..."

Comandos de comprobación de salud

docker compose ps

Para Docker Compose, mantén RECIPES_MCP_SOURCE_INDEX_URL en la fuente interna http://security-recipes/api/recipes.json. Eso permite que el contenedor MCP lea las recetas exactas construidas desde este checkout, incluso antes de que un dominio público o un certificado TLS esté listo. Para un servidor MCP independiente, apunta source_index_url a la fuente de recetas pública mostrada arriba.

Configuración local rápida

Ejecuta el sitio y el servidor MCP juntos:

docker compose up -d --build

Luego conecta un cliente MCP a:

http://localhost/mcp

Para clientes que aceptan configuración JSON, adapta esta forma al formato de configuración propio del cliente:

{
  "mcpServers": {
    "security-recipes": {
      "transport": "streamable-http",
      "url": "http://localhost/mcp"
    }
  }
}

Si quieres ejecutar solo la imagen MCP:

docker build -f Dockerfile.mcp-server -t security-recipes-mcp .
docker run --rm -p 8123:80 security-recipes-mcp

Luego usa:

http://localhost:8123/mcp

Si un cliente solo admite servidores stdio locales, ejecute el servidor Python con RECIPES_MCP_TRANSPORT=stdio y no publique un puerto HTTP.

Primeras llamadas a herramientas para probar

Después de que el cliente se conecte, comience con llamadas de lectura de bajo riesgo:

  1. Llame a recipes_server_info para confirmar el índice de fuentes, el TTL de caché y el recuento de servidores ascendentes.
  2. Llame a recipes_search con una descripción breve del hallazgo, por ejemplo log4j dependency update o stored xss sanitizer bypass.
  3. Llame a recipes_match_finding con un CVE, paquete, ecosistema, ID de regla o palabras clave.
  4. Llame a recipes_get con un slug o ruta devuelta para recuperar el registro completo de la receta.
  5. Llame a recipes_quality_report para inspeccionar los niveles de calidad y las brechas de mejora antes de promover recetas a flujos de trabajo automatizados.

Use facetas y umbrales de calidad cuando el agente conozca la forma del trabajo:

{
  "query": "SSDF repository evidence",
  "facets": ["compliance", "audit"],
  "min_quality": 70,
  "limit": 3
}

Los filtros de facetas alinean la selección de recetas con el resultado previsto: remediation para trabajo de parches, risk para explotabilidad e impacto, audit para mapeo de evidencia, compliance para preparación de estándares y code-hygiene para limpieza o endurecimiento de fuentes. min_quality permite que los agentes prefieran recetas con entradas más sólidas, contratos de salida, verificación, salvaguardas y contexto relacionado.

Para mantener la biblioteca de recetas en sí, llame a:

{
  "facet": "compliance",
  "limit": 10
}

contra recipes_quality_report. La respuesta enumera recetas por debajo de la preparación de clase mundial y nombra las señales de calidad faltantes que se deben agregar a continuación.

Si eso funciona, agregue herramientas de paquete de evidencia solo cuando el flujo de trabajo las necesite.

Configuración personalizada

Copie la plantilla antes de cambiar el comportamiento del servidor:

Copy-Item mcp-server.toml.example mcp-server.toml

Móntela en el contenedor:

docker run --rm -p 8123:80 \`
  -v "${PWD}/mcp-server.toml:/app/mcp-server.toml:ro" \`
  security-recipes-mcp

Use mcp-server.toml para cambiar:

  • source_index_url: el feed de agente /api/recipes.json generado para leer. La matriz heredada /recipes-index.json todavía se acepta.
  • allowed_source_hosts: la lista de permitidos de hosts para ese índice.
  • rutas de archivo generadas del paquete de evidencia.
  • la ruta del catálogo público de servidores MCP incluido.
  • TTL de caché, tiempo de espera de solicitud y límites de resultados.
  • servidores MCP ascendentes opcionales.

Mantenga las credenciales fuera del archivo TOML. Coloque los secretos en variables de entorno.

Contexto MCP ascendente opcional

No se configuran servidores MCP ascendentes de forma predeterminada. Eso mantiene la implementación pública/sitio sin contener credenciales de clientes ni gastar tokens de terceros. Cuando agregue un ascendente, el puente opcional de este repositorio sigue siendo un cliente heredado de doble era: usa por defecto el protocolo 2025-06-18, envía initialize y almacena Mcp-Session-Id. Eso coincide con servidores HTTP Streamable más antiguos. No es un cliente 2026-07-28.

Para una implementación empresarial, agregue una entrada [[upstream_mcp_servers]] por cada endpoint HTTP o HTTP Streamable aprobado:

[[upstream_mcp_servers]]
id = "github"
label = "GitHub MCP Server"
description = "Repository, issue, PR, Actions, and code-security context."
url = "https://YOUR-GITHUB-MCP-ENDPOINT/mcp"
auth_token_env = "GITHUB_TOKEN"
allowed_tools = ["search_repositories", "get_issue", "get_pull_request"]
context_tool = "search_repositories"
context_query_argument = "query"
max_response_chars = 12000

Luego pase el token en tiempo de ejecución:

docker run --rm -p 8123:80 \`
  -e GITHUB_TOKEN="$env:GITHUB_TOKEN" \`
  -v "${PWD}/mcp-server.toml:/app/mcp-server.toml:ro" \`
  security-recipes-mcp

Solo se llaman directamente a los ascendentes HTTP o HTTP Streamable. Si un conector ascendente es solo stdio, ejecútelo detrás de una puerta de enlace interna revisada antes de adjuntarlo a este servidor.

Para producción, prefiera allowed_tools explícito. No confíe en heurísticas de nombres de herramientas para conectores que puedan acceder a código privado, recursos en la nube, datos de clientes, tickets, implementaciones, secretos o terminales.

Fuentes de contexto público y de producto

No todas las fuentes útiles necesitan ser un servidor MCP. Use la fuente segura más simple que proporcione la evidencia.

FuenteÚsela paraConfiguración más segura
API de deps.devMetadatos de paquetes, señales de gráfico de dependencias, alias de avisos y contexto de versiones.Sin token de deps.dev. Use coordenadas de paquete o URL de paquete derivadas de SBOM.
API de OSV.devBúsqueda de vulnerabilidades de código abierto por URL de paquete, ecosistema, versión, commit o consulta por lotes.Sin token de OSV. Limite las consultas a los paquetes del hallazgo.
APIs de GitHub o Servidor MCP de GitHubContexto de repositorio, problema, solicitud de extracción, Actions, Dependabot, escaneo de secretos, escaneo de código y avisos.Use permisos de lectura con ámbito de repositorio primero. Habilite la mutación por separado.
MCP de documentación de Semgrep e integraciones de SemgrepConsulta de documentación de Semgrep, orientación de SAST/SCA/secretos y triaje de hallazgos.Los documentos públicos pueden ser sin token; los hallazgos de la organización requieren autenticación de Semgrep.
Integraciones MCP de Snyk Studio / SnykContexto de vulnerabilidad respaldado por Snyk, consejos de corrección y flujos de trabajo de seguridad agénticos.Requieren autenticación de inquilino, organización y API/plataforma apropiada para la integración.
Servidores MCP de AWS LabsInteligencia en la nube, documentación, inspección de cuentas/recursos e investigación específica de servicios.Use ámbito de cuenta, región y rol. Revise cada herramienta con capacidad de escritura.
Servidor MCP de AzureContexto de recursos de Azure, suscripción y nube.Use ámbito de inquilino/suscripción y autenticación de Azure con privilegios mínimos.
Servidores MCP de CloudflareContexto de cuenta de Cloudflare, zona, Workers, observabilidad y documentación.Use permisos con ámbito de cuenta y revise las herramientas que cambian zonas.
Toolkit y Catálogo MCP de DockerDescubrimiento de servidores curados, puerta de enlace y ejecución MCP contenerizada.Revise cada servidor del catálogo antes de promoverlo.

No instale servidores MCP aleatorios solo porque mencionan seguridad. Revise la fuente, la procedencia del paquete, los ámbitos de token, el acceso a la red, las descripciones de herramientas, la cadencia de actualización y si el conector puede escribir o ejecutar comandos.

API de recetas y soporte MCP

El sitio expone recetas a través de feeds JSON estáticos y el servidor MCP de solo lectura opcional. Use esas superficies para permitir que los agentes aprobados busquen, recuperen y emparejen recetas sin agregar un chatbot alojado en el sitio.

ModoFuentesNotas
Feed de recetas estático/api/recipes.json y /recipes-index.json.Mejor para recuperación directa, inyección de CI, instantáneas locales y sincronización simple de catálogo.
Servidor MCP de Security Recipesrecipes_search, recipes_get, recipes_match_finding y herramientas relacionadas de solo lectura.Mejor cuando un agente compatible con MCP debe buscar recetas en tiempo de ejecución usando facetas, umbrales de calidad y metadatos de hallazgos.
Contexto MCP ascendente aprobadoGitHub, Semgrep, Snyk, AWS, Azure, Cloudflare, Docker aprobados por la organización o puertas de enlace internas.Mantenga el contexto ascendente con ámbito, revisado y de solo lectura a menos que un flujo de trabajo separado apruebe explícitamente escrituras.

Los servidores MCP stdio locales deben ejecutarse en el cliente MCP nativo del host del agente. Envuelva solo conectores revisados detrás de una puerta de enlace HTTP aprobada cuando los clientes de navegador o alojados necesiten acceso.

Política de conectores

Antes de agregar cualquier servidor MCP a un flujo de trabajo de remediación, responda estas preguntas:

PreguntaValor predeterminado más seguro
¿Este hallazgo necesita el conector?No, a menos que la tarea falle sin él.
¿Puede alguna herramienta expuesta escribir, eliminar, implementar, ejecutar o enviar mensajes?Deshabilite o aísle hasta que se revise.
¿Qué ámbitos de token se requieren?Solo lectura, con ámbito de repositorio, con ámbito de inquilino y con límite de tiempo cuando sea posible.
¿Podría la salida de la herramienta incluir secretos, datos de clientes, código privado o hallazgos sensibles?Manténgala interna y con políticas.
¿Están fijadas las descripciones y versiones de las herramientas?Fije versiones y revise los cambios de la lista de herramientas antes de promover.
¿Se registran las llamadas?Prefiera puertas de enlace que registren nombre de herramienta, clase de entrada, clase de salida, actor e ID de ejecución.

Patrón de configuración por agente

Cada configuración de cliente es diferente, pero la forma segura es la misma:

  1. Agregue la fuente de recetas o el endpoint MCP de Security Recipes.
  2. Agregue solo los servidores MCP necesarios para la clase de hallazgo.
  3. Otorgue ámbitos de solo lectura primero.
  4. Coloque condiciones de detención en el archivo de reglas nativo del agente.
  5. Pruebe con un hallazgo de bajo riesgo antes de usar el conector en un backlog.

Ejemplo de texto de tarea:

Use the matching security-recipes.ai recipe.
Read advisory and repository context from approved read-only MCP connectors.
Do not use write-capable MCP tools.
Make one PR or stop with a triage note.

Solución de problemas

SíntomaQué verificar
El cliente no puede conectarse a http://localhost/mcp.Confirme que docker compose ps muestra tanto security-recipes como mcp-server en ejecución.
/mcp se abre con un error en el navegador.Esto puede ser normal. Pruebe con un cliente MCP o el Inspector MCP.
El registro del servidor dice transport 'stdio'.Establezca RECIPES_MCP_TRANSPORT=streamable-http para clientes HTTP y reconstruya/reinicie el contenedor.
Las herramientas no pueden encontrar recetas.Verifique recipes_server_info, source_index_url, allowed_source_hosts y si la URL del índice es accesible.
Faltan herramientas ascendentes.Llame a recipes_mcp_upstream_servers, luego a recipes_mcp_upstream_tools. Confirme la URL ascendente, la variable de entorno del token y allowed_tools.
Un cliente solo admite stdio.Ejecute python mcp_server.py con RECIPES_MCP_TRANSPORT=stdio, o use un cliente/puerta de enlace que admita HTTP Streamable.

Cuándo no usar MCP

Omita MCP cuando un archivo local o un adjunto de tarea sea suficiente. Una alerta de escáner copiada en un problema, un archivo de receta incluido y el comando de prueba del repositorio pueden ser mejores para un pequeño aumento de dependencia.

Use MCP cuando el agente necesite contexto estructurado fresco: metadatos de avisos, resultados de escaneo de código, evidencia SBOM, estado de CI, datos de propiedad o un catálogo grande de recetas que sería incómodo pegar en cada tarea.

Ver también