PROZESS

Vom Quellcode zur Produktion

SmeltSec verwaltet den gesamten MCP-Server-Lebenszyklus — Analyse, Sicherheitsgates, Generierung, Bewertung, Deployment, Monitoring und Datenexport.

Analysieren

Gate 1

Generieren

Gate 2

Bewerten & Berichten

Deployen & Konfigurieren

Überwachen

Analysieren & Exportieren

SCHRITT 1

Analysieren

Quellcode → AST-Analyse

SmeltSec analysiert Ihren Quellcode mit Tree-sitter, um Funktionssignaturen, Routendefinitionen und API-Oberflächen zu extrahieren. Unterstützt GitHub-Repos, OpenAPI-Specs und Beschreibungen in natürlicher Sprache. Die AST-Analyse identifiziert öffentliche API-Oberflächen und filtert interne Funktionen.

API-Äquivalent

POST /v1/generate { source: 'github', repo: 'owner/repo' }

Quellcode-Analyse

◆ Repository wird analysiert... 342 files, 89 functions discovered

◆ Tree-sitter-Parsing... Python AST extracted for 89 functions

◆ API-Oberfläche wird kartiert... 14 public endpoints, 75 internal filtered

✓ Routenerkennung: Flask routes (GET: 8, POST: 4, PUT: 2)

✓ Auth-Analyse: 12/14 endpoints require @auth_required

✓ Bereit für Gate 1 14 tool candidates identified

SCHRITT 2

Gate 1: Vor-Generierung

Sicherheitsscan → Quellcode

Bevor ein MCP-Server generiert wird, führt Gate 1 4 Sicherheitstools gegen Ihren Quellcode aus: Semgrep für SAST, Gitleaks für Secrets, OSV-Scanner für Abhängigkeitsschwachstellen und API-Oberflächenanalyse für das Permission-Mapping. Kritische Befunde blockieren die Generierung.

API-Äquivalent

GET /v1/servers/{id}/security/gate1

Gate 1 — Vor-Generierungs-Scan

◆ Semgrep SAST: 342 files scanned — 0 critical, 1 warning (unsafe pattern usage)

◆ Gitleaks: Code + git history — 0 secrets found

◆ OSV-Scanner: 23 deps — 1 medium CVE (requests 2.28)

◆ API-Oberfläche: 14 endpoints mapped, auth requirements logged

✓ Gate 1 Entscheidung: PASSED — 0 blockers, 2 warnings

SCHRITT 3

Generieren

AST → MCP-Server-Code

Mit bestandenem Gate 1 generiert SmeltSec den MCP-Server. Tools werden aus der API-Oberflächenanalyse kuratiert, Beschreibungen aus Funktionssignaturen und Docstrings generiert, und das Ergebnis ist produktionsfertiger FastMCP (Python) oder TypeScript SDK-Code.

API-Äquivalent

POST /v1/generate { source: 'github', repo: 'owner/repo' }

Generierungs-Pipeline

◆ Tools werden kuratiert... 14 tools selected from 89 functions

◆ Beschreibungen werden generiert... AST + docstring analysis

◆ Schemas werden erstellt... Zod schemas from type annotations

◆ Server wird generiert... FastMCP + Python 3.11

✓ Code-Muster: Retry, circuit breaker, sanitization embedded

✓ Server generiert 14 tools, ready for Gate 2

SCHRITT 4

Gate 2: Nach-Generierung

Sicherheitsscan → Generierter Server

Gate 2 scannt den generierten MCP-Server, bevor er an Sie ausgeliefert wird. MCP-Scan erkennt Tool-Poisoning, die Verhaltensanalyse vergleicht Beschreibungen mit dem Code-Verhalten, Semgrep Self-Check erkennt neue Schwachstellen, und die Berechtigungsverifizierung verhindert Eskalationen.

API-Äquivalent

GET /v1/servers/{id}/security/gate2

Gate 2 — Nach-Generierungs-Scan

◆ MCP-Scan: 14 tools scanned — 0 poisoning, 0 hidden instructions

◆ Verhaltensanalyse: 14/14 tools — intent matches action

◆ Semgrep Self-Check: 0 new vulnerabilities introduced

◆ Berechtigungsverifizierung: No escalation detected (all tools ≤ source scope)

✓ Gate 2 Entscheidung: PASSED — Security Grade: A (91/100)

SCHRITT 5

Bewerten & Berichten

Qualitäts- + Sicherheitsbewertung

Nach dem Bestehen beider Gates wird der Server auf zwei Achsen bewertet: Qualität (6 Dimensionen zur Messung der LLM-Nutzbarkeit) und Sicherheit (5 Kategorien zur Messung des Schwachstellenrisikos). Beide Bewertungen erzeugen Berichtkarten mit Auto-Fix-Vorschlägen.

API-Äquivalent

POST /v1/score { manifest: '...' }

Bewertungs-Pipeline

◆ Qualitätsbewertung: 87/100 (B) — 6 dimensions

◆ Sicherheitsbewertung: 91/100 (A) — 5 categories

◆ Beschreibung: 92/100 | Schema: 88 | Naming: 95

◆ Überschneidung: 78/100 — search_docs and find_docs similar

✓ Auto-Fix: 3 suggestions available (+12 points)

✓ Berichte erstellt Quality + Security report cards

SCHRITT 6

Deployen & Konfigurieren

Client-Konfigurationen → Auto-Sync

Deployen Sie Ihren Server und generieren Sie Client-Konfigurationen für Claude Desktop, Cursor, VS Code, ChatGPT, Windsurf und benutzerdefinierte Clients. Ein-Klick-Installation kopiert die Konfigurationsdatei an den richtigen Pfad. Der Daemon-Modus überwacht Serveränderungen und aktualisiert alle Konfigurationen automatisch.

API-Äquivalent

GET /v1/servers/{id}/config?client=claude_desktop

Deploy & Konfiguration

✓ Claude Desktop: synced — ~/.config/claude/config.json

✓ Cursor: synced — ~/.cursor/mcp.json

✓ VS Code: synced — .vscode/mcp.json

✓ ChatGPT: synced — plugin manifest

✓ Windsurf: synced — ~/.windsurf/mcp.json

◆ Daemon: running — auto-sync on changes

SCHRITT 7

Überwachen

Änderungserkennung → Chirurgische Updates

Verknüpfen Sie ein GitHub-Repository mit Ihrem Server. SmeltSec installiert einen Webhook, der bei Push-Events ausgelöst wird. Bei Code-Änderungen identifizieren Tree-sitter-Diffs die geänderten Funktionen, ordnen sie MCP-Tools zu und klassifizieren die Auswirkungen. Chirurgische Patches bewahren Ihre Anpassungen.

API-Äquivalent

POST /v1/servers/{id}/monitor { repoUrl, branch: 'main' }

Änderungserkennung

◆ Push erkannt: main @ abc1234

◆ Vergleiche: api/users.py (3 functions changed)

! HOHER Einfluss: get_user — parameter signature changed

~ MITTLERER Einfluss: update_user — return type changed

· GERINGER Einfluss: list_users — docstring updated

→ Update vorgeschlagen: Surgical patch (preserves 12 edits)

SCHRITT 8

Analysieren & Exportieren

Nutzungsanalyse → Datenexport

Verfolgen Sie Tool-spezifische Analysen: Aufrufzählungen, Fehlerraten, Latenz-Perzentile (p50/p95/p99) und Client-Verteilung. 51 REST API-Endpoints. Webhooks für 16 Event-Typen registrieren. Massenexport nach JSON Lines, CSV oder Parquet. Zeitreihen-Metriken über OpenTelemetry pushen.

API-Äquivalent

GET /v1/servers/{id}/analytics?range=7d

Analyse & Export

◆ Gesamtaufrufe (7T): 12,847

◆ Fehlerrate: 1.2% (below 5% threshold)

◆ Latenz p95: 142ms

◆ REST API: 51 endpoints, 12 groups

◆ Webhooks: 16 events — HMAC-SHA256 signed

◆ OTEL-Push: Grafana / Datadog / custom OTLP endpoint

VERGLEICH

Ohne vs Mit SmeltSec

Sicherheit und Wartung — vor und nach SmeltSec.

Aufgabe

Ohne

Mit SmeltSec

Sicherheitsscan

Keiner / manuell

8 Tools, 2 Gates, automatisch

Tool-Poisoning-Erkennung

N/V

MCP-Scan + Verhaltensanalyse

MCP-Server aus Repo generieren

2-4 Stunden

< 60 Sekunden

Upstream-API-Änderungen erkennen

Manuelle Überprüfung

Automatisch (Webhook)

Server-Tools aktualisieren

Von Grund auf neu schreiben

Chirurgischer Patch

Tool-Qualität bewerten

N/V

6-dimensionaler Auto-Score

Tool-Nutzung verfolgen

Eigenes Logging

Drop-in-Proxy

Client-Konfigurationen synchronisieren

Manuelles Kopieren

Ein Klick + Daemon

Analysedaten exportieren

Pipeline aufbauen

API / Massenexport / OTEL

Bereit anzufangen?

Generieren Sie Ihren ersten MCP-Server in weniger als 60 Sekunden. Sicherheitsscan in jedem Plan enthalten.