用途：对刚写的代码、准备引入的依赖、容器镜像、IaC 文件与 SBOM 做安全扫描，找出已知漏洞、错误配置与高风险包并给出修复建议。它不能替代代码审查，也不做密钥检测和动态测试。
主要能力：代码 SAST（snyk_code_scan）、依赖 SCA（snyk_sca_scan）、包健康检查（snyk_package_health_check）、升级破坏性检查（snyk_breakability_check）、容器镜像（snyk_container_scan）、IaC（snyk_iac_scan）、SBOM（snyk_sbom_scan）以及预览版 AI BOM（snyk_aibom）。登录/登出/版本由 snyk_auth、snyk_logout、snyk_version 处理。
使用方式：先安装并启用 snyk 插件（hermes plugins install snyk、hermes plugins enable snyk），并开启新的 Hermes 会话以加载 MCP 工具。服务器通过 npx -y snyk@<pinned> mcp -t stdio --profile full --DISABLE_ANALYTICS 启动，需 Node.js/npm。需 Snyk 账号，首次扫描前运行 snyk_auth（会打开浏览器登录，令牌存于 Snyk CLI 配置）。工具名带前缀，后缀为 Snyk 工具名。路径参数必须为绝对路径，先用 pwd 解析；出现信任错误时用 snyk_trust 授予该目录后再重试。大项目可先用 severity_threshold: "high" 限制输出。
适用场景：代码生成或修改后、依赖添加或升级前、容器或 IaC 推送前、拿到 SBOM 时。
限制：扫描会将代码元数据（SAST 还会上传代码）发送到 Snyk 云端，私有或客户仓库需先询问，含密钥或 .env 的目录不应扫描。Python SCA 必须传 command: "python3"。snyk_send_feedback 为外发遥测，未获明确同意不要调用。首次 npx 启动会下载数十 MB 的固定 CLI，较慢属正常。免费账户有月度测试次数限制。具体收费、价格与平台信息暂未提供。