Collegare VirusTotal a Microsoft Copilot via MCP

💡 Niente installazione? Vai direttamente su cloud.anythingmcp.com. Accedi, clicca Connectors → VirusTotal, inserisci le credenziali, genera una MCP API key e hai finito. Niente Docker, niente git clone, niente server locale.

VirusTotal + Microsoft Copilot

Threat intelligence dalla VirusTotal API v3: report di file per hash, report di URL, domini e IP da circa 70 motori, ricerca, relazioni tra indicatori, comportamento in sandbox e MITRE ATT&CK, commenti e voti della community, rescan e, quando un admin lo attiva, scansione di URL.

Prerequisiti

Le istruzioni di setup complete sono incluse nel connettore stesso (visibili nello store quando lo selezioni). Le variabili d'ambiente richieste sono:

VIRUSTOTAL_API_KEY

Step 1 — Ottieni le credenziali

La configurazione richiede circa 2 minuti. Ti serve un account VirusTotal; la API key community è gratuita.

1. Iscriviti gratis alla VirusTotal Community su https://www.virustotal.com/gui/join-us e conferma l'email.
2. Apri la tua API key su https://www.virustotal.com/gui/my-apikey e incollala in VIRUSTOTAL_API_KEY. È composta da 64 caratteri esadecimali minuscoli e viene inviata nell'header x-apikey.
3. Installa il connettore ed esegui virustotal_list_popular_threat_categories: una chiamata leggera che conferma la key.

Key pubblica o Premium: una key gratuita consente 4 richieste al minuto e 500 al giorno, e i termini di VirusTotal vietano l'uso della API pubblica in prodotti commerciali o processi aziendali. Le key Premium non hanno questi limiti e sbloccano virustotal_intelligence_search, più relazioni e più contesto. Le quote giornaliere si azzerano alle 00:00 UTC. virustotal_get_api_usage con il tuo nome utente VirusTotal mostra l'uso giornaliero per endpoint fino a 30 giorni.

Privacy: ogni indicatore che cerchi o invii entra nel dataset di VirusTotal ed è visibile alla community. Non inviare mai URL, domini o hash riservati o con dati personali, come un URL con un token, un link di reset della password o un nome host interno.

Cosa legge:

• Verdetti: virustotal_get_file_report (per SHA-256, SHA-1 o MD5, senza upload), virustotal_get_url_report, virustotal_get_domain_report e virustotal_get_ip_report, con le statistiche di rilevamento di circa 70 motori e blocklist di URL, il verdetto di ogni motore, reputazione, voti, tag e, a seconda dell'oggetto, tipo e nomi del file, URL finale e redirect, record DNS, WHOIS, registrar, ASN e paese.
• virustotal_search accetta un hash, un URL completo, un dominio, un IP o un tag di commento come #phishing. Con un URL restituisce il report dell'URL, il modo più semplice se non hai l'id dell'URL.
• Relazioni: virustotal_list_related_objects ne segue una, ad esempio i contacted_domains di un file, le resolutions o i subdomains di un dominio, i communicating_files di un IP. virustotal_list_related_ids restituisce solo gli id ed è molto più leggero. virustotal_get_resolution legge una singola risoluzione DNS (id = l'IP seguito dal dominio, ad esempio 8.8.8.8dns.google).
• Sandbox: virustotal_get_file_behaviour_summary (processi, file, chiavi di registro, mutex, traffico DNS, IP e HTTP) e virustotal_get_file_mitre_attack (tattiche e tecniche MITRE ATT&CK per sandbox).
• Community: virustotal_list_comments e virustotal_list_votes su un oggetto, virustotal_list_latest_comments su tutto VirusTotal (filtro come tag:malware), virustotal_get_comment per un singolo commento.
• Solo Premium: virustotal_intelligence_search con modificatori di ricerca come type:peexe positives:10+.

Cosa scrive: virustotal_rescan chiede una nuova analisi di un file, URL, dominio o IP già noto a VirusTotal, e virustotal_get_analysis legge il risultato (interrogando ogni 15-60 secondi finché status è completed). virustotal_add_comment pubblica un commento pubblico con il tuo account (le parole che iniziano con # diventano tag) e virustotal_add_vote esprime un voto pubblico harmless o malicious.

Disattivati all'installazione: virustotal_scan_url e virustotal_delete_comment. Nessuno dei due si può annullare: un URL inviato, con tutto ciò che contiene, resta condiviso per sempre con la community di VirusTotal, e un commento cancellato non torna. Un admin del workspace li attiva quando il team ne ha bisogno. Con virustotal_scan_url attivo, un URL che VirusTotal non conosce (404) può essere inviato e il risultato letto con virustotal_get_analysis.

Id degli URL: i tool per gli URL usano l'id dell'URL, cioè l'URL in base64url senza padding (https://example.com/ diventa aHR0cHM6Ly9leGFtcGxlLmNvbS8) oppure lo SHA-256 dell'URL canonico. Il data.id di un report URL è quello SHA-256; un id di analisi ha la forma u-<sha256>-<timestamp>. Nel dubbio l'AI usa virustotal_search con l'URL.

Formati dei dati: le risposte seguono JSON:API con data.id, data.type e data.attributes. last_analysis_stats conta i motori per verdetto (malicious, suspicious, harmless, undetected, timeout), last_analysis_results elenca categoria e risultato di ciascun motore. reputation è un punteggio della community, negativo è male; total_votes conta i voti harmless e malicious. Le date sono timestamp Unix in secondi (UTC). Pochi rilevamenti non provano che qualcosa sia sicuro: l'AI controlla anche la data dell'analisi e le relazioni. I report di URL, domini e IP omettono i campi più pesanti come header HTTP, cookie, meta HTML e il certificato HTTPS completo; i certificati sono disponibili tramite la relazione historical_ssl_certificates.

Paginazione: i tool di elenco restituiscono meta.cursor e links.next finché ci sono altri elementi; l'AI passa meta.cursor come cursor con lo stesso limit e si ferma quando manca.

Errori comuni: 401 WrongCredentialsError o AuthenticationRequiredError indica una key errata o mancante (o un'email dell'account non confermata), 403 ForbiddenError un endpoint o una relazione solo Premium, 404 NotFoundError un oggetto che VirusTotal non ha mai visto, 409 AlreadyExistsError un voto duplicato, 429 QuotaExceededError la quota al minuto o giornaliera (attendi o passa a un piano superiore), 400 InvalidArgumentError un id malformato.

Il connettore non carica file e non scarica campioni: i file si cercano per hash.

Step 2 — Installa l'adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Step 3 — Aggiungi il connettore in Microsoft Copilot

L'URL del tuo server: in AnythingMCP apri MCP Servers → il server su cui si trova questo connettore e copia il suo URL (https://cloud.anythingmcp.com/mcp/…). Usalo ovunque questa guida mostra YOUR_SERVER_ID.

Microsoft Copilot usa i server MCP tramite gli agenti creati in Copilot Studio: aggiungi AnythingMCP a un agente come strumento, poi pubblichi l'agente in Microsoft 365 Copilot e in Teams. Copilot Studio si collega dal cloud di Microsoft via Streamable HTTP, che AnythingMCP supporta.

1. In Copilot Studio apri il tuo agente (o creane uno), vai su Tools e scegli Add a tool → New tool → Model Context Protocol.
2. Inserisci un Server name (per esempio AnythingMCP), una Server description che dica cosa fa il connettore e il Server URL https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID. Copilot Studio usa la descrizione per decidere quando chiamare il server.
3. Come autenticazione scegli API key, imposta Type su Header e come nome dell'header X-API-Key, poi seleziona Create.
4. In Add tool scegli Create a new connection, incolla una chiave API MCP di AnythingMCP (MCP Servers → il tuo server → API keys) e seleziona Add to agent.
5. Provalo nel riquadro Test dell'agente: chiedi qualcosa che richiede i tool di VirusTotal.
6. Seleziona Publish, poi Channels → Microsoft 365 and Microsoft Teams, lascia selezionato Make agent available in Microsoft Copilot e scegli Add channel. See agent in Teams lo installa per te; in Microsoft 365 Copilot scrivi @ e scegli l'agente.

Preferisci un accesso per ogni utente? Al posto della chiave API scegli OAuth 2.0 → Dynamic discovery: ogni persona accede ad AnythingMCP la prima volta che l'agente lo chiama.

Usi il self-hosting? Usa l'indirizzo HTTPS pubblico della tua istanza al posto di https://cloud.anythingmcp.com. Copilot Studio si collega dal cloud di Microsoft, quindi localhost non funziona.

Tool disponibili

Esempi di prompt

• "Il file con SHA-256 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f è segnalato come malevolo? Mostrami le statistiche di rilevamento e l'etichetta della minaccia."
• "Controlla il dominio example-login-secure.com: cosa dicono i motori, quando è stato creato e su quali IP si è risolto?"
• "Che reputazione ha l'IP 185.220.101.1, a chi appartiene e quali file hanno comunicato con lui?"
• "Mostrami il comportamento in sandbox e le tecniche MITRE ATT&CK di questo hash: 44d88612fea8a8f36de82e1278abb02f."
• "Elenca gli ultimi commenti della community con il tag phishing e riassumi quali marchi imitano."

FAQ

Per quale Copilot vale? Per Microsoft 365 Copilot in azienda, tramite gli agenti di Copilot Studio. L'app Microsoft Copilot per account personali non permette di aggiungere un proprio server MCP.

Cosa mi serve? Un account di lavoro con accesso a Copilot Studio (licenza o prova) per creare l'agente. Chi lo usa in Microsoft 365 Copilot o in Teams deve avere accesso all'agente: condividilo, oppure chiedi a un amministratore di pubblicarlo per l'organizzazione. Se la tua organizzazione applica criteri sui dati ai connettori di Power Platform, valgono anche per i server MCP.

L'agente non chiama i tool. Controlla che il nome dell'header sia esattamente X-API-Key e che la chiave appartenga allo stesso server MCP dell'URL, e scrivi una Server description precisa: Copilot Studio la usa per decidere quando chiamare il server. Dopo ogni modifica pubblica di nuovo l'agente; in una chat già aperta scrivi "start over" per passare alla nuova versione.

Prossimi passi

• Landing del connettore
• Collegare a Claude
• Collegare a ChatGPT
• Collegare a Cursor
• Collegare a Gemini
• Collegare a Meta Muse