dart-risk-mcpCAUTION
Overview
From the repository's own README, as read at the audited commit. Badges and raw HTML are left out.
개인 작업용. DART 공시를 흐름으로 읽어 불공정거래 신호를 사실로 표기하는 MCP 서버.
돌리기
pip install -e . python -m dart_risk_mcp
{
"mcpServers": {
"dart-risk": {
"command": "python",
"args": ["-m", "dart_risk_mcp"],
"env": { "DART_API_KEY": "..." }
}
}
}DART_API_KEY필수KRX_API_KEY·KIS_APP_KEY+KIS_APP_SECRET선택 — 시세 대조용(KRX 먼저, 빈 날은 KIS)
메모
- 설계·실측 근거는 전부
CLAUDE.md - 보류한 판단은
docs/DEFERRED-DECISIONS.md - 뷰어 소스는
docs/tool/ - 테스트는 키 없이:
env -u DART_API_KEY python -m pytest tests/ -q - 골든 재생성:
python scripts/regen_goldens.py - 릴리스 순서:
CLAUDE.md「릴리스 정책」
MIT. 일부 로직은 kreports-dart-mcp(Apache 2.0)에서 이식 — THIRD_PARTY_NOTICES.md.
7da40f21bfa7OBSERVED · 2026-10-11Connect
Built from this server's own package name, version and transport as found in its source — not copied from anyone's documentation, so it cannot drift against a page we do not control. Replace the environment placeholders with a token scoped to the least it needs.
claude mcp add dart-risk-mcp --env ANTHROPIC_API_KEY=${ANTHROPIC_API_KEY} --env DART_API_KEY=${DART_API_KEY} --env KIS_APP_KEY=${KIS_APP_KEY} --env KIS_APP_SECRET=${KIS_APP_SECRET} -- uvx dart-risk-mcp{
"mcpServers": {
"dart-risk-mcp": {
"command": "uvx",
"args": [
"dart-risk-mcp"
],
"env": {
"ANTHROPIC_API_KEY": "${ANTHROPIC_API_KEY}",
"DART_API_KEY": "${DART_API_KEY}",
"KIS_APP_KEY": "${KIS_APP_KEY}",
"KIS_APP_SECRET": "${KIS_APP_SECRET}"
}
}
}
}Exposed tools (34)
33 read · 0 write · 1 destructive. Blast radius: 1 tool can delete or overwrite — an agent that can be talked into calling a tool can be talked into calling this one.
| Tool | Risk | Description |
|---|---|---|
analyze_company_risk | read | 기업명 또는 종목코드로 공시 기반 불공정거래 위험 신호를 분석한다. |
build_event_timeline | read | 기업의 공시 이벤트를 시간순으로 정렬해 조작 흐름의 서사를 구성한다. |
check_disclosure_anomaly | read | 공시 구조 지표 5종의 건수·비율을 집계해 사실 요약을 반환합니다. |
check_disclosure_risk | read | DART 공시 접수번호 또는 공시 제목으로 해당 공시의 위험도를 분석한다. |
compare_financials | read | 여러 기업의 재무제표를 나란히 비교한다 (최대 20개 기업 · 최대 10개 연도). |
find_actor_overlap | read | 여러 기업(2~5개)의 **임원 겸직**과 CB/BW/EB·유상증자 **인수자**를 비교해 |
find_risk_precedents | read | 신호 유형 조합으로 해당 신호의 특성과 위험 해석을 반환한다. |
get_affiliate_investments | read | |
get_audit_opinion_history | read | 감사의견·감사인 교체·비감사용역 이력을 조회합니다. |
get_audit_opinion_text | read | 감사보고서 원문에서 **감사인이 쓴 문장**을 그대로 읽는다. |
get_company_info | read | 기업 개요를 조회한다 (대표자, 업종, 설립일, 상장 구분 등). |
get_disclosure_document | read | DART 공시 접수번호로 공시 원문 전체를 조회한다. |
get_executive_compensation | read | 임원 보수 현황을 조회합니다 (불공정거래 탐지 참고 자료). |
get_financial_statements_full | read | 재무제표의 **전체 계정**을 원문 순서·원문 계정명 그대로 낸다. |
get_financial_summary | read | 기업의 주요 재무제표를 조회한다 (매출, 영업이익, 순이익, 자산, 부채). |
get_major_decision | read | DS005 주요사항보고서 12종 결정 공시(양수도·합병·분할·교환)를 |
get_mezzanine_terms | read | CB·BW·EB **발행결정 한 건**의 발행 조건을 표로 낸다. |
get_shareholder_info | read | 기업의 최대주주 및 5% 이상 대량보유자 현황을 조회한다. |
get_unlisted_financials | read | 비상장 외부감사대상 법인의 재무제표·주석을 감사보고서 원문에서 읽는다. |
list_disclosure_sections | read | DART 공시 원문의 목차(섹션 구조)를 조회한다. |
list_disclosures_by_stock | read | 종목코드로 최근 공시의 접수번호(rcept_no) 목록을 조회한다. |
list_report_revisions | read | 한 사업연도의 정기보고서 **판본**을 늘어놓는다 (원본 + 정정본). |
lookup_known_actor | read | 인물명으로 공개기록 레지스트리를 조회한다 (사실 표기 — 판정 아님). |
manage_watchlist | destructive | 감시 대상 인물↔회사군 워치리스트를 관리한다 (list / show / add / remove). |
scan_financial_anomaly | read | |
search_market_disclosures | read | 시장 전체 공시에서 preset에 해당하는 위험 신호를 일괄 스캔한다. |
search_notes_in_report | read | 공시 **한 건**의 주석 본문을 낱말로 찾아 앞뒤 문맥과 함께 보여준다. |
track_capital_structure | read | |
track_debt_balance | read | 미상환 채무증권 5종 잔액을 조회합니다. |
track_fund_usage | read | 공모/사모 자금 사용내역(계획 vs 실제)을 조회해 조달자금 유용· |
track_insider_trading | read | 최대주주·5% 대량보유자의 지분 변동 시계열을 분석합니다. |
track_market_reaction | read | 공시 전후 시장 반응(KRX·한국투자증권 시세, KIND 시장경보)을 사실로 표기한다. |
track_turnover_trend | read | |
view_disclosure | read | DART 공시 원문을 조회한다. 섹션 지정 또는 페이지 단위로 전체 원문을 읽을 수 있다. |
Trust audit
CAUTIONgrade B · trust 81/100 Install with care. The audit found things worth knowing before you trust its output.
| Layer | What it checks | Result |
|---|---|---|
| L0 | Provenance & inventory | PASS |
| L1 | Static analysis of the code | WARN |
| L2 | Instruction surface (what it tells the agent) | WARN |
| L3 | Class-specific surface | WARN |
| L4 | Behavioural (sandbox) | SKIPPED |
What the source does
- Filesystem
- declared (1 observation(s))
- Network
- declared (5 observation(s))
- Shell
- none-observed
- Dependencies
- not all pinned
- Secrets in source
- none-found
Findings (17)
print(f"dev relay: http://127.0.0.1:{args.port}/ "html += `<div class="dim" style="font-size:0.9rem;margin-bottom:0.8rem">
<div class="dim" style="font-size:0.8rem">→ ${esc(e.signals[0].reason)}</div>${s0 && s0.note ? `<div class="dim" style="font-size:0.78rem">※ ${esc(s0.note)}</div>` : ""}manage_watchlist
.vercelignore
.mcpbignore
return int(eval(m.group(1))) # noqa: S307 — 정수 리터럴·곱셈만 매칭된다
"삼성전자'; DROP TABLE--", "../../etc/passwd",
<input type="text" id="relayInput" placeholder="https://...vercel.app 또는 http://127.0.0.1:8787">
python scripts/dev_relay.py # http://127.0.0.1:8787/
yield f"http://127.0.0.1:{srv.server_address[1]}""UPSTASH_REDIS_REST_URL": f"http://127.0.0.1:{srv.server_port}",@pytest.mark.parametrize("q", ["", " ", "\t", "\n", "", None])requests
data/catalog/catalog_classified.jsonl
data/catalog/catalog_sources.jsonl
Gates applied: no_behavioural_pass.
7da40f21bfa7full audit observations/trust-audit/mcp-server/anboyu-alt__dart-risk-mcp.json · Report an issue / request a re-scanAudit history
Every audit this server has had. A grade with a past is a grade somebody is still checking.
| Date | Source | Verdict | Grade | Score | Change |
|---|---|---|---|---|---|
| 2026-10-11 | 7da40f21bfa7 | CAUTION | B | 81 | first audit |
Questions
What tools does dart-risk-mcp expose?
34 in total: 33 read-only, 0 that write, and 1 that can delete or overwrite (manage_watchlist). Every one is listed on this page with its risk.
Is dart-risk-mcp safe to connect to an agent?
With care. The audit graded it B (81/100) and found 17 things worth knowing before you trust this server, listed below with the exact line each was found on. Separately from the audit: 1 of its tools can destroy data, so scope the token you give it to what you actually need.
What credentials does dart-risk-mcp need?
It reads ANTHROPIC_API_KEY, DART_API_KEY, KIS_APP_KEY, KIS_APP_SECRET, KRX_API_KEY, MAIL_APP_PASSWORD, NOTION_TOKEN, OPS_TOKEN, SUPABASE_SERVICE_KEY and UPSTASH_REDIS_REST_TOKEN from the environment. Give it a token scoped to the least it needs — an agent that can be talked into calling a tool can be talked into calling it with your credentials.
How does dart-risk-mcp run?
It speaks sse, so it runs as a service you connect to over the network. It is published on PyPI as dart-risk-mcp.
How current is this page?
The grade is for one exact copy of the source (7da40f21bfa7), read on 2026-10-11. The repository is watched and re-audited when it changes.