AI导哈

信任评分服务

MCP Scorecard是一个为MCP服务器提供信任评分的服务，通过分析公开信号生成评分索引，供MCP客户端使用。

  • by gigabrainobserver
  • Python
  • 本地部署
  • 4 星标
  • 更新于
在 GitHub 查看 gigabrainobserver/mcp-scorecard

使用说明

MCP记分卡

信任评分指数 MCP服务器.就像 OpenSSF记分卡 但对于MCP生态系统来说。

这 MCP注册表 拥有2000多台服务器，没有信任信号——没有下载计数、没有验证、没有质量评分。代理越来越多地自动选择MCP服务器，并向他们提供凭据，而无法评估可信度。

MCP记分卡将来自MCP注册表和GitHub的公开信号聚合到一个评分的JSON索引中，MCP客户端可以使用该索引。

评分模型

4个类别，每个类别0-100。总计=加权平均值。

来源（30%）——这是真的吗？

拥有源代码仓库、许可证、可安装包、网站、图标、命名空间匹配仓库所有者、SECURITY.md、行为准则、唯一描述。

维护（25%）——它还活着吗？

回购年龄、最近一次推送时间、活跃提交周数、贡献者数量、版本历史。

受欢迎程度（20%）——有人使用它吗？

GitHub明星，分叉，观察者。（计划在v0.2中下载npm/PyPI。）

权限（25%）——它想要什么？

机密环境变量计数、传输类型风险（stdio与远程）、凭据敏感性、包类型。

得分等级

范围 标签
80–100 高度信任
60–79 适度信任
40–59 信任度低
20–39 信任度极低
0-19 未知/可疑

红旗

独立于分数的二进制标志：

标志 规则
DEAD_ENTRY 没有软件包，也没有遥控器
TEMPLATE_DESCRIPTION 匹配已知样板
STAGING_ARTIFACT 测试/阶段名称模式+模板描述
HIGH_SECRET_DEMAND 5+个秘密环境变量
SENSITIVE_CRED_REQUEST 请求钱包密钥、数据库密码等。
REPO_ARCHIVED GitHub仓库已存档
NO_SOURCE 无仓库，无包源
DESCRIPTION_DUPLICATE 3台以上无关服务器使用的描述相同

输出

该管道生成三个JSON文件：

  • index.json --每台服务器的得分、信号和标志
  • stats.json --生态系统总结（分数分布、旗帜计数、顶级服务器）
  • flags.json --按标志类型分组的服务器
{
  "version": "1.0.0",
  "generated_at": "2026-02-22T06:00:00Z",
  "server_count": 2278,
  "servers": {
    "io.github.example/server": {
      "trust_score": 82,
      "trust_label": "High Trust",
      "scores": { "provenance": 90, "maintenance": 85, "popularity": 78, "permissions": 72 },
      "signals": { "has_source_repo": true, "github_stars": 1500, "..." : "..." },
      "flags": []
    }
  }
}

用法

git clone https://github.com/gigabrainobserver/mcp-scorecard.git
cd mcp-scorecard
uv venv && uv pip install -e .

运行完整扫描：

# Optional: set GITHUB_TOKEN for 5000 req/hr (vs 60 unauthenticated)
export GITHUB_TOKEN=ghp_...

uv run mcp_scorecard

输出转到 ./output/ 默认情况下。使用 -o 指定其他目录。

运作原理

COLLECT (2min)     ENRICH (65min)      SCORE (10sec)     PUBLISH
MCP Registry  -->  GitHub API     -->  Calculator   -->  index.json
  ~2,300 servers   ~5,600 API calls    4 categories      stats.json
                   (5000/hr limit)     8 red flags       flags.json

每天通过GitHub Actions运行。总运行时间约为70分钟。所有免费API。

发展

git clone https://github.com/gigabrainobserver/mcp-scorecard.git
cd mcp-scorecard
uv venv && uv pip install -e .
uv run pytest

许可证

麻省理工学院

相关 MCP