agent-bom registry
MCP服务器安全注册表与信任评估工具
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：agent-bom registry。 它的用途是：MCP服务器安全注册表与信任评估工具 完整的 Skill 内容见：https://321skill.com/skills/agent-bom-registry-x-8/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'帮我评估一下这个MCP服务器的安全性，地址是https://github.com/someone/mcp-server'，它会自动查询内置的1013条注册表，匹配该服务器的安全元数据，同时运行SAST代码扫描，最终输出一份包含安全评分、风险项列表和修复建议的报告。
介绍
本工具解决MCP服务器安全信任评估的痛点：当您需要安装或使用一个MCP服务器时，如何快速判断其安全性？它内置了1013条服务器安全元数据注册表，可一键查询服务器的安全评分、已知漏洞、权限风险等信息，并支持预安装市场检查、批量风险评分和SAST静态代码扫描，帮助您在部署前识别潜在安全隐患。
使用方法简单：直接输入MCP服务器名称或GitHub仓库地址，工具会自动匹配注册表数据，运行SAST扫描并生成风险报告。您也可以批量导入服务器列表进行舰队级风险评分，或对自定义技能文件进行信任评估。支持命令行和API两种调用方式，可集成到CI/CD流水线中。
适合运维工程师、智能体开发者和后端开发人员，尤其是那些需要频繁部署或管理MCP服务器、关注供应链安全的团队。对于安全审计人员，它也能作为MCP生态的合规检查利器，快速输出审计所需的证据链。
建议结合自身的安全策略使用：注册表数据会持续更新，建议定期扫描已部署的服务器；SAST扫描主要针对代码层面，对于运行时配置风险，仍需配合其他安全工具。首次使用建议先查询注册表熟悉数据格式，再执行批量扫描。
核心特点
拥有1013条预构建的MCP服务器安全元数据注册表，同时支持注册表查询、市场检查、批量风险评分和SAST代码扫描，一站式完成MCP安全评估，无需切换多个工具。
注意事项
不适用于非MCP协议的服务器或传统Web应用的安全评估，且SAST扫描仅覆盖代码层面，无法检测运行时配置或网络层风险。
常见问题
如何查询某个MCP服务器的安全信息？
执行命令：agent-bom lookup <server-name>，即可返回注册表中的安全评分、已知漏洞、权限等级等元数据。
能否批量扫描多个MCP服务器？
可以，使用 fleet-scan 命令传入服务器列表文件，工具会并行进行风险评分和SAST扫描，生成汇总报告。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/agent-bom-registry-x-8/raw/index.md 读取 agent-bom registry 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/agent-bom-registry-x-8/raw/index.md（查看排版版本）