SmeltSecはMCPサーバーのライフサイクル全体を管理します — 分析、セキュリティゲート、生成、スコアリング、デプロイ、モニタリング、そしてデータエクスポートまで。
SmeltSecはTree-sitterを使ってソースコードを解析し、関数シグネチャ、ルート定義、APIサーフェスを抽出します。GitHubリポジトリ、OpenAPI仕様、自然言語による記述に対応。AST解析により公開APIサーフェスを特定し、内部関数をフィルタリングします。
MCPサーバーが生成される前に、Gate 1はソースコードに対して4つのセキュリティツールを実行します：SASTにはSemgrep、シークレット検出にはGitleaks、依存関係の脆弱性にはOSV-Scanner、権限マッピングにはAPIサーフェス分析。重大な検出事項は生成をブロックします。
Gate 1を通過すると、SmeltSecがMCPサーバーを生成します。ツールはAPIサーフェス分析から厳選され、説明は関数シグネチャとdocstringから生成されます。出力はプロダクション対応のFastMCP（Python）またはTypeScript SDKコードです。
Gate 2は生成されたMCPサーバーが届く前にスキャンします。MCP-Scanがツールポイズニングを検出し、動作解析が説明とコードの動作を比較し、Semgrep Self-Checkが新たな脆弱性を検出し、Permission Verificationがエスカレーションを防ぎます。
両方のゲートを通過後、サーバーは2つの軸でスコアリングされます：品質（LLMの使いやすさを測る6つの次元）とセキュリティ（脆弱性リスクを測る5つのカテゴリ）。両スコアは自動修正提案付きのレポートカードを生成します。
サーバーをデプロイし、Claude Desktop、Cursor、VS Code、ChatGPT、Windsurf、カスタムクライアント向けのクライアント設定を生成します。ワンクリックインストールで設定ファイルを正しいパスにコピー。デーモンモードでサーバーの変更を監視し、全設定を自動更新します。
GitHubリポジトリをサーバーにリンクします。SmeltSecはプッシュイベントでトリガーされるwebhookをインストールします。コードが変更されると、Tree-sitterのdiffが変更された関数を特定し、MCPツールにマッピングして影響を分類します。ピンポイントパッチがカスタマイズを保護します。
ツールごとの分析を追跡：呼び出し回数、エラー率、レイテンシパーセンタイル（p50/p95/p99）、クライアント分布。51のREST APIエンドポイント。16種類のイベントタイプ用のwebhookを登録。JSON Lines、CSV、Parquetへの一括エクスポート。OpenTelemetryで時系列メトリクスをプッシュ。
セキュリティとメンテナンス — SmeltSec導入前後の比較。