Snyk über MCP mit Meta Muse verbinden

💡 Keine Installation? Nutze cloud.anythingmcp.com direkt. Einloggen, Connectors → Snyk klicken, Zugangsdaten einfügen, MCP-API-Key erzeugen, fertig. Kein Docker, kein git clone, kein lokaler Server.

Snyk + Meta Muse

Prüfe Snyk aus deinem KI-Agent: Organisationen, Targets und Projekte, Schwachstellen und andere Issues aller Produkte mit Fix-Details und Abhängigkeitspfaden, SBOMs, Abhängigkeiten, Paketprüfung per purl, Mitglieder, Ignores und Policies; nach deiner Bestätigung Projekte taggen, ihre Attribute setzen und Issues ignorieren.

Voraussetzungen

Die vollständige Setup-Anleitung ist in den Connector eingebaut (im Store sichtbar, wenn du den Connector auswählst). Benötigte Umgebungsvariablen für diesen Connector:

SNYK_API_URL, SNYK_TOKEN

Schritt 1 — Zugangsdaten holen

Die Einrichtung dauert etwa 3 Minuten. API-Zugriff braucht einen Snyk-Enterprise-Plan: Tokens aus Free und Team funktionieren nur für CLI und IDE und antworten hier mit 401 oder 403.

1. Erstelle ein Token. Für einen gemeinsam genutzten Connector ist ein Service Account am besten: Organization oder Group settings, Service accounts, mit der Rolle Org Collaborator zum Lesen oder Org Admin für Ignores und Attribute. Für dich selbst nimmst du ein Personal Access Token aus Account settings, Personal access tokens (es läuft nach höchstens 90 Tagen ab), oder das API-Token unter Account settings.
2. Füge es ohne Präfix wie token oder Bearer in SNYK_TOKEN ein. Es wird als Authorization: token <key> gesendet.
3. Setze SNYK_API_URL auf die API deiner Region, ohne /rest oder /v1: https://api.snyk.io (app.snyk.io), https://api.us.snyk.io (app.us.snyk.io), https://api.eu.snyk.io (app.eu.snyk.io), https://api.au.snyk.io (app.au.snyk.io) oder https://api.snykgov.io (Snyk for Government). Welche es ist, siehst du an der Adresse deiner Snyk-App.
4. Installiere den Connector und führe snyk_get_self aus, dann snyk_list_orgs für die Organisations-IDs.

Der Connector nutzt die REST API von Snyk (Version 2026-03-25) und, wo REST kein Gegenstück hat, die v1 API.

IDs: Jedes Tool nimmt die ID der Organisation (eine UUID aus snyk_list_orgs), nicht ihren Slug. REST-Issue-IDs aus snyk_list_issues sind UUIDs; die v1-Tools (snyk_list_issue_paths, snyk_create_ignore, snyk_delete_ignore) nehmen die v1-Issue-ID wie SNYK-JS-LODASH-567746, also die id in snyk_list_aggregated_issues und attributes.problems[].id in REST-Issues.

Was er liest:

• Bestand: snyk_get_self, snyk_list_orgs, snyk_get_org, snyk_list_targets und snyk_get_target (Repositories, Container-Images, CLI-Uploads), snyk_list_projects und snyk_get_project mit Typ, Herkunft, Tags, Attributen und den aktuellen Issue-Zahlen nach Schweregrad, snyk_list_integrations (GitHub, GitLab, Bitbucket Cloud, Azure Repos, Docker Hub, ECR und weitere) und snyk_list_org_members.
• Issues: snyk_list_issues für die ganze Organisation oder snyk_list_project_issues für ein Projekt, über Open-Source-Schwachstellen und Lizenzen, Code, IaC, Container und Secrets. Filter nach Typ, effective_severity_level, Status (open, resolved), ignoriert oder Datum; danach snyk_get_issue für die betroffenen Paketversionen und Abhilfen.
• Fixes: snyk_list_aggregated_issues für Open-Source- und Container-Projekte mit Paket und Version, CVSS- und Priority-Score, Exploit-Reife, ob ein Upgrade oder Patch möglich ist, und den Versionen mit dem Fix, sowie snyk_list_issue_paths, jeder Abhängigkeitspfad, über den das verwundbare Paket ins Projekt kommt.
• Lieferkette: snyk_get_project_sbom exportiert die SBOM des letzten Scans eines Projekts in CycloneDX 1.4 bis 1.6 (JSON oder XML) oder SPDX 2.3 JSON, snyk_list_dependencies zeigt, wo ein Paket in den Projekten genutzt wird, und snyk_list_package_issues prüft eine Paketversion per purl (zum Beispiel pkg:npm/[email protected]), bevor du sie einbaust.
• Ignores: snyk_list_project_ignores (v1, Open-Source- und Container-Projekte) sowie snyk_list_policies mit snyk_get_policy für die organisationsweiten Consistent Ignores, die Snyk Code und neuere Produkte nutzen.

Was er nach deiner Bestätigung ändert: snyk_add_project_tag und snyk_remove_project_tag (Key und Wert wie team:payments), snyk_set_project_attributes (Business-Kritikalität, Umgebung und Lebenszyklus; die übergebenen Listen ersetzen die alten) und snyk_create_ignore. Ein Ignore blendet eine Schwachstelle aus Tests, Reports und Pull-Request-Checks aus. Deshalb nennt die KI Issue, Projekt, Grund (not-vulnerable, wont-fix oder temporary-ignore) und Ablaufdatum, bevorzugt ein befristetes Ignore und ruft das Tool erst nach deinem Ja auf.

Bei der Installation abgeschaltet: snyk_delete_ignore. Es entfernt alle Ignore-Regeln eines Issues in einem Projekt samt Grund und Verlauf und lässt sich nicht rückgängig machen. Ein Workspace-Admin schaltet es ein, wenn das Team es braucht.

Datenformate: REST-Antworten sind JSON:API: Die Felder stehen unter data[].attributes, verknüpfte IDs unter relationships. Schweregrade sind critical, high, medium und low (bei manchen Produkten info); effective_severity_level berücksichtigt Änderungen am Schweregrad durch deine Organisation. Datumsangaben sind ISO 8601 in UTC. SBOMs großer Projekte sind umfangreich.

Paging: REST-Listen nehmen limit (Standard 20, bis 100) und liefern links.next; die KI ruft erneut mit starting_after auf den Wert aus diesem Link auf, bis links.next fehlt. Die v1-Tools blättern mit page und perPage.

Limits: Snyk erlaubt etwa 1.620 REST-Requests pro Minute und Token und 2.000 v1-Requests pro Minute und Benutzer; 429 heißt eine Minute warten.

Häufige Fehler: 401 bedeutet, dass das Token falsch, abgelaufen oder widerrufen ist, zu einer anderen Region gehört (prüfe SNYK_API_URL) oder der Plan keinen API-Zugriff hat. 403 bedeutet, dass die Rolle des Tokens den Aufruf in dieser Organisation nicht erlaubt. 404 bedeutet eine falsche ID oder einen Organisations-Slug, wo die ID nötig ist. 400 oder 422 nennen den falschen Parameter.

Der Connector startet keine Tests oder Scans, importiert keine Repositories, löscht, deaktiviert oder verschiebt keine Projekte und Targets und erstellt keine organisationsweiten Policies. Reports auf Group-Ebene, Audit-Logs, Einstellungen, die Einrichtung von Integrationen, Mitglieder und Einladungen, Service Accounts, Snyk Apps sowie die Cloud- und AI-BOM-Endpunkte deckt er nicht ab.

Schritt 2 — Adapter installieren

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Schritt 3 — Connector in Muse hinzufügen

Deine Server-URL: Öffne in AnythingMCP MCP Servers → den Server, auf dem dieser Connector liegt, und kopiere seine URL (https://cloud.anythingmcp.com/mcp/…). Setze sie überall ein, wo diese Anleitung YOUR_SERVER_ID zeigt.

Muse bindet Remote-MCP-Server als Custom Connectors ein und meldet sich per OAuth bei ihnen an.

1. Öffne in Muse Settings → Connectors und wähle Add custom connector.
2. Füge die MCP-Server-URL https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID ein.
3. Muse öffnet die Anmeldeseite von AnythingMCP: Melde dich an und bestätige den Zugriff.
4. Bitte Muse im Chat um etwas, wofür es die Snyk-Tools braucht.

Du kannst den Connector auch per Chat einrichten, im Web, in den Apps für iOS und Android oder in WhatsApp. Schick Muse diese Nachricht:

Create a Custom Connector for a new remote MCP server, then connect to it:
Name: AnythingMCP
Transport: remote streamable HTTP
URL: https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID
Auth: OAuth

Du hostest selbst? Nimm statt https://cloud.anythingmcp.com die öffentliche HTTPS-Adresse deiner Instanz. Muse verbindet sich aus der Cloud von Meta, localhost funktioniert deshalb nicht.

Verfügbare Tools

Beispiel-Prompts

• „Welche Projekte unserer Snyk-Organisation haben gerade offene kritische Schwachstellen?“
• „Ist pkg:npm/[email protected] sicher? Wenn nicht, welche Version behebt die Probleme?“
• „Welche Issues mit hohem Schweregrad im Projekt api-server lassen sich per Upgrade beheben, und über welche Abhängigkeit kommt jedes davon?“
• „Exportiere die SBOM des Projekts checkout-service als CycloneDX JSON.“
• „Ignoriere SNYK-JS-LODASH-567746 im Projekt web-frontend als temporary-ignore bis Jahresende, Grund: aus unserem Code nicht erreichbar.“

FAQ

Wo ist Muse verfügbar? Meta bietet Muse derzeit in den USA und in Kanada an, im Web, in den Apps für iOS und Android und in WhatsApp.

Prüft Meta diesen Connector? Nein. Meta prüft Custom Connectors nicht. Muse sieht nur die Tools, die du in AnythingMCP für diesen MCP-Server eingeschaltet hast, und du kannst den Connector jederzeit unter Settings → Connectors trennen.

Nächste Schritte

• Connector-Startseite
• Mit Claude verbinden
• Mit ChatGPT verbinden
• Mit Cursor verbinden
• Mit Gemini verbinden
• Mit Microsoft Copilot verbinden