agent-bom registry
MCP服务器安全注册表与信任评估工具
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：agent-bom registry。 它的用途是：MCP服务器安全注册表与信任评估工具 完整的 Skill 内容见：https://321skill.com/skills/agent-bom-registry/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'帮我查一下MCP服务器brave-search的安全注册信息，并做一次信任评估。' 它会调用registry_lookup查询1013条注册表中的安全元数据，再调用marketplace_check进行预安装风险检查，返回服务器名称、安全评分、风险等级等详细信息。
介绍
这个Skill解决了MCP服务器安全信任评估的痛点问题。在实际开发中，团队在集成第三方MCP服务器时，往往缺乏快速查证服务器安全元数据、评估风险的手段，容易引入恶意或不可信的组件。Agent BOM Registry内置了1013条MCP服务器安全元数据，支持注册表查询、市场预检、批量风险评分、技能文件信任评估和SAST代码扫描，让安全审计变得可操作、可重复。
使用方式很简单，你只需要通过pipx安装agent-bom包，然后就可以通过自然语言指令来调用多个工具。例如，对AI说’帮我查一下brave-search服务器的安全信息’，它会调用registry_lookup进行注册表查询；说’对当前目录下的所有MCP服务器做批量风险扫描’，则会触发fleet_scan进行批量评分。此外还支持marketplace_check进行预安装信任检查，skill_scan/trust分析技能文件，code_scan通过Semgrep进行CWE映射的代码扫描。
它非常适合需要管理MCP服务器安全性的开发团队、运维工程师和安全审计人员。尤其是那些在AI代理中集成了大量MCP服务器、需要自动化安全评估的团队，以及需要在上线前对MCP服务器进行合规审查的项目。个人开发者在搭建个人AI助手时，也可以用它快速验证所用服务器的可信度。
建议在安装任何新的MCP服务器之前，先使用marketplace_check进行预检，避免直接安装到生产环境。需要注意的是，它主要依赖本地捆绑的1013条注册表数据，离线环境下仍可正常工作；如果需要更全面的SAST扫描，建议安装Semgrep作为可选依赖。注册表数据的更新需要通过pip升级包来获取最新条目。
常见问题
使用这个工具需要联网吗？
不需要，注册表数据是本地捆绑的，所有查询在本地内存中完成，零网络依赖。只有代码扫描（code_scan）若启用Snyk可选功能才需要联网。
注册表数据多久更新一次？
注册表数据随pip包版本更新，建议定期执行pip install --upgrade agent-bom来获取最新条目。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/agent-bom-registry/raw/index.md 读取 agent-bom registry 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/agent-bom-registry/raw/index.md（查看排版版本）