← 返回列表

新工具 GitHub · kushvinth/crowbar

用 crowbar 给 Agent 装离线 CVE 索引，按产品版本查出哪些漏洞可利用

一条 npx 命令把本地 CVE 库接进 Claude Code/Cursor/Codex，问某产品版本就得到适用 CVE、可利用性排序与 PoC 链接

开始尝试

效果

README 提供 Website、Guides、Showcases 链接与终端命令示例，原站没有结果截图

这是什么

新在哪里：以前对比 NVD、KEV、EPSS、Exploit-DB 要逐个网站手查或靠 agent 凭记忆猜；现在这些源合并成本地 SQLite 索引，agent 经 MCP 离线秒回且结果可复现

怎么做到的：crowbar 抓取 NVD、CISA KEV、EPSS、SSVC、Exploit-DB、Nuclei、Metasploit、OSV 等公开漏洞数据写入本地 SQLite + FTS5；npx crowbar-cli setup 探测本机的 Claude Code/Codex/Cursor/Gemini CLI/opencode 并注册 MCP server 与 skill，或按 README 手动加 uvx --from crowbar-cli crowbar-mcp；agent 提问时 skill 自动安装工具并在 ~/.crowbar 建小索引，随后用 cb_cve、cb_product、cb_exploit 等 MCP 工具离线作答

适合谁
需要经常核查第三方依赖漏洞、并想让 coding agent 有可靠漏洞知识源的开发者或安全工程师
能帮你
把多源漏洞情报压成一个本地可复现索引，让 agent 与终端都能秒级回答“这个版本有什么可利用漏洞”

评分 三项分开看，不合成总分；热度不等于好用

新颖性
全新做法 · 2026-10-22 出现
热度
未知
易上手
需要一些准备
怎么评的

三项都由本站记录的事实按固定规则算出，编辑不能直接改档位；规则改动会写进更新说明。

新颖性

  • ●●● 全新做法，且有来源依据的出现时间在最近 30 天内
  • ●●○ 老工具新用法或近期刚开放，且有来源依据的时间在最近 30 天内
  • ●○○ 出现时间超过 30 天、未核实到精确日期，或已不再是新做法
  • 其他 出现时间未核实、晚于今天，或新颖类型未核实时按最低一档处理，不靠猜测加分

热度

  • ●●● 最近一次每周人工确认为“热门”：最近 14 天里独立讨论、实际案例、持续时间、传播平台、相对关注五项门槛全部满足（规则 heat-v1）
  • ●●○ 最近一次人工确认为“观察中”：前三项至少一项达到，或讨论增长 ≥ 50%，且至少 2 个独立案例
  • ●○○ 最近一次人工确认为“未进入跟踪”
  • 其他 还没有人工确认过的热度记录时显示“未知”。热度只统计本站已接入的信源，不代表全网

易上手

  • ●●● 准备门槛低且难度入门：不需要新账号或付费，首次尝试不超过 30 分钟，公开可用，会复制粘贴即可
  • ●●○ 准备门槛中等，或门槛低但需要改少量代码或配置
  • ●○○ 准备门槛高：需要商业软件或付费服务、首次尝试超过 2 小时、特殊硬件或网络、排队或邀请且无替代方案，或需要专业知识
  • 其他 只有介绍、还没有站内步骤，或关键步骤已失效时显示“暂不可试”；门槛未核实时显示“未核实”

怎么尝试

  • 时间 首次约 15 分钟
  • 费用 免费：README 标注 MIT 许可，安装与使用通过 npx/uvx 进行，未提及付费
  • 账号 不需要新账号
  • 环境 Node.js（npx 安装）、uv / Python 3.11+；支持 Claude Code、Codex、Cursor、Gemini CLI、opencode；磁盘需约 150 MB 起
  • 准备 Node.js：运行 npx crowbar-cli setup
  • 准备 uv（或 Python 3.11+）：运行 crowbar MCP server 与 CLI
  • 准备 支持 MCP 的 agent 宿主（Claude Code / Codex / Cursor / Gemini CLI / opencode）（选用）：让 agent 通过 MCP 与 skill 查询索引
  • 准备 约 150 MB 以上磁盘空间：存放 lite 及更高档位索引

按下面的步骤就能做出第一个结果。复制命令不会自动执行。

  1. 装好依赖并跑一键 setup

    在已安装 Node.js 和 uv 的机器上运行；setup 会探测本机 agent、展示将修改的配置，确认后才应用，并备份原配置。

    终端原始来源命令 
    npx crowbar-cli setup

    预期结果：列出检测到的 Claude Code、Codex、Cursor、Gemini CLI、opencode，提示将改动的配置文件，确认后注册 MCP server、安装 skill 并询问是否建索引

  2. （可选）改用 Claude Code 插件安装

    不想用 setup 时，用两行插件命令一次装入 skill 与 MCP server。

    终端原始来源命令 
    claude plugin marketplace add kushvinth/crowbar

    预期结果：插件市场加入成功，随后可执行 claude plugin install crowbar@crowbar 安装

  3. 手动建一个 lite 索引

    想让终端也能直接查时，先同步 lite 档数据再构建索引。

    终端原始来源命令 
    crowbar sync --tier lite

    预期结果：开始下载 KEV、EPSS、近期 CVE 与 CWE 名称数据

  4. 构建索引并自检

    构建本地 SQLite 索引并验证可用。

    终端原始来源命令 
    crowbar build --tier lite

    预期结果：生成约 150 MB 的本地索引，完成后可查询

  5. 验证就绪

    运行 doctor 确认索引与 MCP 配置正常。

    终端原始来源命令 
    crowbar doctor

    预期结果：输出检查结果，显示索引可用、配置就绪

  6. 重启 agent 并提问

    重启 agent 后直接问安全相关问题，例如询问某个产品与版本存在哪些 CVE、哪些有已知利用；agent 应经 MCP 用本地索引作答。

    预期结果：回答包含具体 CVE 编号、受影响版本范围与可利用性评级，而非凭记忆猜测

原始来源：Crowbar：本地 CVE 索引 MCP 给编码 Agent ↗