Aikido MCP Plugin

Aikido MCP Pluginは、AikidoのセキュリティエンジンをAIコーディングツールに接続します。AI生成コードが作成されると同時に、脆弱性やハードコードされたシークレットを自動的にスキャンします。

AIアシスタントは自身の出力をレビューできますが、そのレビューは完璧ではありません。Aikidoは、実績のあるスキャンルールで生成されたすべてのスニペットをチェックする、信頼性が高く一貫したセキュリティレイヤーを追加します。

Aikido MCPを使う理由

すべてのAI生成スニペットに対して、コミット前に決定論的で独立したセキュリティチェックを実施
AI支援ワークフローにおける脆弱性やハードコードされたシークレットの即座の検出と修復
リアルタイムのフィードバックにより、AI駆動の開発をデフォルトでより安全に

利用可能なツール

aikido_full_scan: ローカルのコードファイルをスキャンし、脆弱性（SAST）とハードコードされたシークレットを検出します。
aikido_issues_list: Aikidoフィードからセキュリティの検出結果を取得します。
- スコープでフィルタ: repo_name、cloud_name、vm_name、domain_name、container_name、workspace_name、team_name
- repo_branch_name を使って、リポジトリのスコープを単一のブランチに絞り込むことも可能
- 1つ以上の検出結果タイプを選択: sast、leaked_secret、iac、open_source、cloud、cloud_instance、docker_container、malware、eol、mobile、surface_monitoring、scm_security、license、ai_pentest
- page（0始まり）で結果をページ送り
- 各検出結果について、タイトル、タイプ、深刻度、修復手順を返す
- out_of_sla または due_soon のフィルタを選択して、SLAでフィルタリング
aikido_ignore_issue: フィード内のセキュリティの検出結果を無視します。issue_id と reason が必要です。
aikido_login: Aikidoのサインインフローを開始します。リージョン別のサインインURL（EU / US / ME）を返すか、すでにサインイン済みであることを確認します。

インストール

IDE

Aikido VSCode IDEプラグインは、追加機能を提供するためにExpansion Packsを使用します。GitHub Copilot向けAikido MCPもこのExpansion Packsの1つであり、別途セットアッププロセスなしで簡単かつ迅速にインストールできます。有効化方法については以下のリンク先ページを参照してください。

VS Code IDE

Copilot IDEプラグインとの統合

1. IDE設定にMCP構成を追加する

Github Copilotプラグインの設定に移動し、mcp.json ファイルを開きます。Aikidoサーバーを追加します。

{
  "servers": {
    "aikido": {
      "command": "npx",
      "args": ["-y", "@aikidosec/mcp@latest"]
    }
  }
}

2. 認証する

初回利用時に、Copilotに aikido_login を実行するよう依頼します。ブラウザリンクが返されるので、それをたどってAikidoにログインしてください。ログインが完了すると、トークンが安全に保存されます。

3. カスタムプロンプトの指示を追加する

AGENTS.md ファイルに指示を追加するか、カスタム指示を追加して、エージェントに新しいツールを使うよう伝えます。

Scan any new or modified code with `aikido_full_scan` before finalizing changes. This security check is required.

Copilot Cloud Agentsとの統合

GitHub Copilot coding agentは、実行中にMCPサーバーのツールを呼び出すことができます。リポジトリでAikido MCPをセットアップするには、以下の手順に従ってください。設定はリポジトリごとに行います。

すでにVS CodeでAikido MCPを使用している場合は、その設定を再利用し、リポジトリ設定にトークンを追加するだけで済みます。

セットアップ手順

1. リポジトリ設定にMCP構成を追加する

GitHubリポジトリで、Settings → Copilot → Coding agentに移動し、MCPのJSON構成を貼り付けます。

Aikido MCP（npx経由のローカル/stdio）の設定例:

Copilot Cloud Agent

{
  "mcpServers": {
    "aikido": {
      "type": "stdio",
      "command": "npx",
      "args": ["-y", "@aikidosec/mcp@latest"],
      "tools": ["aikido_full_scan", "aikido_sast_scan", "aikido_secrets_scan"],
      "env": {
        "AIKIDO_API_KEY": "COPILOT_MCP_AIKIDO_API_KEY"
      }
    }
  }
}

2. トークンをCopilot環境に追加する

Github Copilotは、名前が COPILOT_MCP_ で始まるシークレット/変数のみをMCP構成に公開します。

以下のようなシークレットを作成してください。

COPILOT_MCP_AIKIDO_API_KEY = あなたのAikidoトークン

3. カスタムプロンプトの指示を追加する

GitHub CopilotがMCPサーバーを確実に使用するようにするには、GitHubのガイドで説明されている通りにリポジトリの指示を設定します。

以下のような指示を追加してください。

Scan any new or modified code with `aikido_full_scan` before finalizing changes. This security check is required.

4. 検証する

Copilotにファイルのセキュリティスキャンを依頼することで、設定を検証できます。

コードのスキャン

「Aikidoを使ってこのファイルのセキュリティ上の問題をスキャンして」
「コミット前に、Aikidoでステージされた変更をスキャンしてシークレットがないか確認して」
「私が今編集したファイルをAikidoでスキャンして、payments-api リポジトリに紐付けて」

リポジトリ別の検出結果のレビュー

「payments-api にあるAikidoの重大な検出結果をすべて表示して」
「frontend-web のAikidoで漏洩したシークレットを一覧表示して」
「api-gateway でAikidoが検出しているオープンソースの脆弱性は何？」
「infra-core のSASTとIaCの検出結果をAikidoで表示して」

クラウド、VM、コンテナ別の検出結果のレビュー

「prod-aws にあるAikidoのクラウドの検出結果をすべて一覧表示して」
「web-server-01 のマルウェア検出結果をAikidoで表示して」
「Aikidoによると、nginx-proxy コンテナで実行中のEOLソフトウェアは何？」
「Aikidoで example.com のサーフェスモニタリングの検出結果を表示して」

組み合わせたワークフロー

「Aikidoで現在の変更をスキャンしてから、同じリポジトリの既存の重大な検出結果を表示して」
「このPRをAikidoでチェックして、リポジトリ内の未対応のSASTの検出結果と比較して」