Qu’est-ce que x64dbg-MCP Server ?
x64dbg-MCP Server est un plugin pour x64dbg, le débogueur Windows open source, qui fait tourner un serveur MCP dans le processus même du débogueur. Les agents connectés peuvent charger un programme ou s'attacher à un processus, poser des points d'arrêt logiciels, matériels, mémoire, conditionnels et d'exception, avancer pas à pas et tracer, lire et écrire registres et mémoire, assembler des correctifs, lister modules, imports, exports, chaînes et références croisées, détecter le point d'entrée d'origine des binaires compressés et vider mémoire ou modules sur disque. Il transmet aussi n'importe quelle commande x64dbg via ExecuteDebuggerCommand.
Il est écrit en Zig sans dépendance d'exécution, compile des plugins 32 et 64 bits à partir d'un seul code et parle Streamable HTTP et SSE avec un jeton bearer obligatoire. Créé le 22 août 2026 par l'utilisateur GitHub duty1g, il compte environ 2 795 étoiles, est sous licence MIT et a publié la v1.7 le 3 novembre 2026.
Installer x64dbg-MCP Server
Copy the release dist/ folder into the x64dbg directory; connect to http://localhost:9094/ with the bearer tokenx64dbg-MCP Server vaut-il le coup ?
Les outils statiques comme Ghidra lisent un binaire ; celui-ci l'exécute. Avec 84 outils, l'agent peut s'arrêter au point d'entrée, passer les appels, surveiller les registres, suivre des chaînes de pointeurs, tracer un nombre donné d'instructions avec leur désassemblage et poser un point d'arrêt matériel sur une écriture mémoire. Pour le décompactage, DetectOEP et DumpModule couvrent la séquence habituelle consistant à trouver le vrai point d'entrée puis à vider, et WaitForEvent attend en long polling les points d'arrêt et exceptions pour que l'agent ne tourne pas à vide. Être un plugin natif compte : aucun pont Python ni runtime .NET ne s'intercale entre le modèle et l'API du débogueur.
Le modèle de sécurité mérite une double lecture. Le serveur peut lire et écrire la mémoire du processus, allouer de la mémoire, modifier des registres et exécuter des commandes arbitraires du débogueur, et il le fait en HTTP non chiffré. Un jeton est généré au premier lancement et exigé à chaque requête ; les requêtes sans jeton reçoivent 401 Unauthorized. Le README indique 0.0.0.0, toutes les interfaces, comme adresse d'écoute par défaut, alors que le config.zig actuel retombe sur 127.0.0.1 ; vérifiez le menu Plugins après l'installation et restez sur la boucle locale sauf si WSL ou un client distant l'exige. Un logiciel malveillant en cours d'analyse a de toute façon sa place dans une VM isolée.
Le projet est jeune et avance vite : huit versions depuis le 27 août, plusieurs corrigeant de vrais comportements. La v1.6 a permis aux 25 outils qui prennent une adresse d'accepter des entiers, après que Disassemble retombait en silence sur le pointeur d'instruction courant quand il en recevait un ; la v1.7 a réparé SetBookmark, qui n'avait jamais créé de signet. Le README se contredit lui-même sur le nombre d'outils (84 dans la liste des fonctions, 72 dans la section des outils). Il n'y a qu'un mainteneur, et la limitation à Windows découle de x64dbg lui-même.
Là où il fait la différence
Une analyste malware dans une petite société de réponse à incident
Décompacter un échantillon jusqu'à son point d'entrée d'origine et le vider
Dans une VM Windows isolée, faites charger l'échantillon par l'agent, lancer DetectOEP, s'arrêter là et appeler DumpModule, puis confiez le vidage à un serveur Ghidra pour l'analyse statique. Gratuit ; épargne le pas à pas manuel.
Un joueur de CTF face à un crackme
Trouver où la vérification de licence compare l'entrée et pourquoi elle échoue
Demandez à l'agent de chercher le message d'échec dans les chaînes, de suivre GetReferences jusqu'à la comparaison, de poser un point d'arrêt conditionnel et de lire les registres à cet endroit. L'agent explique chaque étape au fil de l'eau.
Un développeur Windows qui traque un plantage dans une DLL tierce
Capturer la pile d'appels et les arguments au moment d'une violation d'accès
Posez un point d'arrêt d'exception sur les violations d'accès de première chance, exécutez jusqu'au déclenchement, puis appelez GetCallStack, GetArguments et Disassemble autour de l'adresse fautive pour préparer un rapport de bogue.
Avant de vous engager
- Mise en route
- Copiez le dossier dist de la version dans le répertoire de x64dbg et lancez x64dbg ; le serveur démarre seul sur le port 9094 (x64) ou 9095 (x32). Copiez le jeton depuis Plugins, puis ajoutez l'URL et l'en-tête Authorization dans le client.
- Intégrations
- 84 outils et 22 callbacks d'événements du débogueur en Streamable HTTP et SSE (MCP 2024-11-05). Toute commande x64dbg via ExecuteDebuggerCommand. Compilation depuis les sources avec Zig 0.16-dev sous Windows, Linux, macOS ou WSL.
- Données et confidentialité
- Tourne dans x64dbg sur votre machine ; désassemblage, mémoire et chaînes partent chez votre fournisseur de modèles. Contrôle total en lecture et écriture du processus débogué en HTTP non chiffré, protégé par un jeton stocké dans mcp_config.json à côté de x64dbg.
- Limites
- Windows uniquement ; HTTP non chiffré ; un seul mainteneur ; le nombre d'outils et l'adresse d'écoute par défaut du README ne correspondent pas au code. GetSEHChain ne fonctionne qu'en x32.
Les points forts
- 84 outils pour points d'arrêt, traces, mémoire et analyse PE
- Plugin natif en Zig, aucun runtime à installer
- Jeton bearer obligatoire à chaque requête
- Détection d'OEP et vidage de modules pour binaires compressés
Les points faibles
- HTTP non chiffré ; le jeton circule en clair
- Le README et le code divergent sur l'adresse d'écoute par défaut
- Des versions récentes ont corrigé des outils défaillants en silence
- Un seul mainteneur, Windows uniquement
Idéal pour
Analystes de logiciels malveillants, joueurs de CTF et rétro-ingénieurs qui utilisent déjà x64dbg et veulent confier à un agent les pas à pas, traces et vidages répétitifs dans une VM isolée.
Alternatives à x64dbg-MCP Server
x64dbg-MCP Server : questions fréquentes
- x64dbg-MCP Server vaut-il le coup ?
- Le pendant dynamique d'un serveur Ghidra : rapide, sans dépendance et complet, avec un canal de contrôle en HTTP non chiffré qui a les pleins pouvoirs sur le processus auquel il est attaché. Nous lui donnons 3.9 sur 5.
- Combien coûte x64dbg-MCP Server ?
- Gratuit et open source (MIT).
- Quels sont les inconvénients de x64dbg-MCP Server ?
- HTTP non chiffré ; le jeton circule en clair; le README et le code divergent sur l'adresse d'écoute par défaut; des versions récentes ont corrigé des outils défaillants en silence; un seul mainteneur, Windows uniquement.
- À qui s’adresse x64dbg-MCP Server ?
- Analystes de logiciels malveillants, joueurs de CTF et rétro-ingénieurs qui utilisent déjà x64dbg et veulent confier à un agent les pas à pas, traces et vidages répétitifs dans une VM isolée.
- x64dbg-MCP Server est-il sûr pour les données de l’entreprise ?
- Tourne dans x64dbg sur votre machine ; désassemblage, mémoire et chaînes partent chez votre fournisseur de modèles. Contrôle total en lecture et écriture du processus débogué en HTTP non chiffré, protégé par un jeton stocké dans mcp_config.json à côté de x64dbg.
- Quelles sont les meilleures alternatives à x64dbg-MCP Server ?
- Les alternatives les plus proches que nous avons testées sont GhidraMCP et REA (Reverse Engineer Anything).
Réponses vérifiées le 6 nov. 2026.