本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

从 IDE 运行代码安全扫描

使用 Kiro 或 Claude 代码直接从您的 IDE 运行 AWS 安全代理代码安全扫描。IDE 集成允许您扫描本地源代码中是否存在安全漏洞，仅对更改后的代码运行差异扫描，以及对设计文档进行威胁模型审查，所有这些都无需离开开发环境。发现结果显示在代码旁边，并附有补救指南，您可以直接从 IDE 中应用自动修复。

IDE 集成的工作原理

IDE 集成使用 AWS 安全代理 MCP（模型上下文协议）服务器将您的 IDE 连接到 AWS 安全代理服务：

MCP 服务器负责处理所有编排（代理空间配置、S3 存储桶创建、IAM 角色设置、代码打包和扫描轮询），因此您只需要在本地配置 AWS 凭证即可。

先决条件

在开始之前，请确保您满足以下条件：

安装 MCP 服务器

Kiro

从 Kiro 市场安装 AWS 安全代理 Power。Power 将 MCP 服务器配置、转向指令和生命周期挂钩捆绑在一起，以提供自动安全扫描建议。

或者，也可以在项目中手动配置 MCP 服务器：.kiro/mcp.json

{
  "mcpServers": {
    "security-agent": {
      "command": "uvx",
      "args": ["awslabs.security-agent-mcp-server@latest"],
      "env": {
        "AWS_PROFILE": "default",
        "AWS_REGION": "us-east-1",
        "FASTMCP_LOG_LEVEL": "ERROR"
      }
    }
  }
}

Claude Code

安装 AWS Security Agent 插件，该插件提供设置、完整扫描、差异扫描、威胁模型审查和补救的技能。

在项目中配置 MCP 服务器：.mcp.json

{
  "mcpServers": {
    "awslabs.security-agent-mcp-server": {
      "command": "uvx",
      "args": ["awslabs.security-agent-mcp-server@latest"],
      "env": {
        "AWS_PROFILE": "default",
        "AWS_REGION": "us-east-1",
        "FASTMCP_LOG_LEVEL": "ERROR"
      }
    }
  }
}

First-time 设置

首次使用时，MCP 服务器会自动配置所需的 AWS 资源：

要明确触发安装程序，请询问您的 IDE：

Set up the security agent

该设置会验证您的 AWS 证书，创建或重复使用代理空间，配置 IAM 角色和 S3 存储桶，并确认准备就绪。如果您已经有来自 AWS 管理控制台的代理空间，则设置会显示它们并询问要使用哪一个。

运行全面的安全扫描

扫描整个项目是否存在安全漏洞：

Scan this project for security issues

IDE：

扫描进度

完全扫描通常需要大约 1 小时，具体取决于代码库的大小。IDE 每 5 分钟检查一次进度，并在结果准备就绪时通知您。您可以随时询问状态：

How's the scan going?

运行差异扫描

为了在开发过程中更快地获得反馈，请仅扫描自 git ref 以来更改过的代码：

Scan my changes against main for security issues

默认情况下，如果您未指定基本引用，则扫描会将未提交的更改与之进行比较。HEAD你可以明确指定不同的基数：

Diff scan my uncommitted changes

差异扫描会上传完整的存储库上下文和 git diff 补丁，然后仅针对更改的行运行分析。结果通常在 5-15 分钟内得出。

有关 S3 差异扫描 API 的更多信息，请参阅使用 S3 运行差分代码扫描。

进行威胁模型审查

使用 STRIDE 方法分析设计文档以了解安全态势的变化：

Run a threat model review on my spec

IDE 会识别您的requirements.md和design.md文件（通常位于下方.kiro/specs/），将其与源代码一起上传，并运行威胁模型分析。结果确定：

查看调查发现

扫描完成后，搜索结果将按严重性分组显示在您的 IDE 中：

🟣 CRITICAL: SQL Injection in user-service.ts
   File: src/api/user-service.ts:45
   User input flows directly into SQL query without parameterization

🔴 HIGH: Hardcoded credentials in config.ts
   File: src/config/database.ts:12
   Database password stored in source code

还会写一份详细的报告，其中.security-agent/findings-{scan_id}.md包含每项发现的完整信息，包括风险类型、置信度分数、代码位置和补救代码。

要查看先前扫描的结果，请执行以下操作：

Show my security findings

应用自动修复

查看调查结果后，应用自动补救措施：

Fix the security findings

IDE 按严重程度（严重 → 高 → 中 → 低）自上而下处理调查结果，并使用每个发现的补救指南应用代码修复。应用所有修复后，它会自动运行验证差异扫描以确认问题已解决。

您也可以修复个别发现：

Fix the SQL injection in user-service.ts

自动扫描建议 (Kiro)

使用 Kiro Power 时，AWS 安全代理可以在您更改安全敏感代码后自动建议差异扫描。Power 会安装一个挂钩，该挂钩会评估每个完成的编码回合，并在更改影响以下内容时建议进行扫描：

您可以随时通过删除来选择不接收自动建议.kiro/hooks/security-diff-scan-suggester.kiro.hook。

可用的扫描类型

环境变量

问题排查

“未配置。先运行安装程序。”

您的.security-agent/config.json失踪或代理空间已不存在。让 IDE 运行安装程序：

Set up the security agent

扫描失败 AccessDenied

确保您的 AWS 凭证具有 “先决条件” 部分中列出的所需 IAM 权限。最常见的缺失权限是iam:CreateRole（仅在首次设置时才需要）。

扫描超时或耗时太长

空差异-扫描不做任何更改

如果您在没有未提交的更改的情况下运行差异扫描，MCP 服务器会报告 “与 HEAD 无更改”，并且不会启动扫描。先提交或暂存您的更改，或者指定不同的基本引用。

限额和限制

后续步骤

运行第一次 IDE 安全扫描后：