MeroZemory/ida-multi-mcp

解決的問題

ida-multi-mcp 允許 AI 代理透過單一 Model Context Protocol (MCP) 端點，同時逆向分析多個二進制檔案。它消除了對每個二進制檔案個別設定客戶端的需求，並透過將工具置於 IDA Pro 的自動分析流程後方進行防護，防止 AI 代理提供不完整答案。

工作原理

此專案實作了位於 MCP 客戶端（如 Claude Code 或 Cursor）與多個 IDA Pro 進程之間的路由器。

• 發現：IDA 插件將每個開啟的資料庫註冊至共享的 JSON 註冊檔案中。路由器隨後動態發現這些實例。
• 路由：使用 instance_id 將請求透過 HTTP JSON-RPC 轉發至正確的 IDA 進程。
• 分析門控：提供特定工具（analysis_status 和 analysis_wait），確保在代理嘗試反編譯或分析函數之前，IDA 已完成背景分析。
• 相似性搜尋：基於 MinHash、CFG 結構和可選的神經嵌入，使用二進位碼相似性檢測（BCSD）在不同二進位檔案之間尋找相似函數，即使它們已移除符號。
• 無頭模式：支援 idalib，可在無 GUI 的情況下進行分析。

適用對象

使用 IDA Pro 並希望利用 AI 代理同時分析多個檔案中的複雜惡意軟體鏈（例如，一個下載器、載荷和 C2 伺服器）的逆向工程師與安全研究人員。

主要亮點

• 零設定發現：資料庫開啟時，實例會自動註冊。
• 跨二進位相似性：本地評分與索引，適用於變種偵測與函式庫識別。
• 平行執行：請求在工作執行緒池中執行，防止一個忙碌的 IDA 實例阻塞其他實例。
• 代理感知門控：當結果基於不完整的自動分析時，會向代理發出警告。
• 本地優先：所有評分、推論與二進位資料均保留在本地機器上。