agent-bom registry
MCP服务器安全注册表与信任评估工具
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：agent-bom registry。 它的用途是：MCP服务器安全注册表与信任评估工具 完整的 Skill 内容见：https://321skill.com/skills/agent-bom-registry-x-9/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'帮我检查一下这个MCP服务器example-server的安全性，并扫描其代码中的潜在漏洞。' 它会先查询注册表返回该服务器的安全评分和元数据，然后执行预安装市场检查，最后对服务器代码进行SAST静态扫描，输出风险报告和改进建议。
介绍
MCP（Model Context Protocol）服务器生态日益丰富，但缺乏统一的安全评估机制，导致开发者在集成第三方服务器时面临潜在风险。本工具内置1013条MCP服务器的安全元数据注册表，帮助用户快速查询服务器信誉、安全评分、已知漏洞和合规状态，解决MCP服务器信任评估的难题。
使用方法简单：你可以直接查询单个服务器的安全元数据，或在安装前运行市场检查（marketplace check）自动验证；支持批量对多个服务器进行风险评分（batch fleet risk scoring），也可对已安装的技能文件做信任评估，并集成SAST静态代码扫描能力，检测代码中的安全缺陷。所有操作通过命令行或集成到CI/CD流程中完成。
适合运维工程师、智能体开发者、后端开发以及安全审计人员。尤其适合需要管理大量MCP服务器、构建安全可信的AI Agent生态的团队。对于个人开发者，也能在引入第三方MCP服务器前快速评估风险，避免引入恶意或存在漏洞的组件。
使用建议：注册表数据由社区维护，可能滞后于最新版本，建议结合官方文档和实际测试综合判断。静态扫描结果为辅助参考，不能替代人工代码审查。对于未收录的自定义服务器，需手动提交或自行评估。
核心特点
与同类安全扫描工具相比，本工具专为MCP服务器生态设计，内置1013条服务器的安全元数据，支持预安装市场检查、批量风险评分和SAST扫描一体化，不再是通用的代码安全工具，而是专注于MCP服务器的信任评估流程。
注意事项
不适用于未收录的自定义MCP服务器，且依赖社区维护的数据更新，可能存在滞后。
常见问题
如何查询某个MCP服务器的安全性？
直接输入服务器名称或ID，工具会从注册表中返回安全评分、已知漏洞、许可信息等元数据。
这个工具可以替代人工代码审查吗？
不能完全替代，SAST扫描和注册表查询是辅助手段，建议结合人工审查和动态测试综合评估。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/agent-bom-registry-x-9/raw/index.md 读取 agent-bom registry 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/agent-bom-registry-x-9/raw/index.md（查看排版版本）