MCP记分卡
信任评分指数 MCP服务器.就像 OpenSSF记分卡 但对于MCP生态系统来说。
这 MCP注册表 拥有2000多台服务器，没有信任信号——没有下载计数、没有验证、没有质量评分。代理越来越多地自动选择MCP服务器，并向他们提供凭据，而无法评估可信度。
MCP记分卡将来自MCP注册表和GitHub的公开信号聚合到一个评分的JSON索引中，MCP客户端可以使用该索引。
评分模型
4个类别，每个类别0-100。总计=加权平均值。
来源（30%）——这是真的吗？
拥有源代码仓库、许可证、可安装包、网站、图标、命名空间匹配仓库所有者、SECURITY.md、行为准则、唯一描述。
维护（25%）——它还活着吗？
回购年龄、最近一次推送时间、活跃提交周数、贡献者数量、版本历史。
受欢迎程度（20%）——有人使用它吗？
GitHub明星，分叉，观察者。（计划在v0.2中下载npm/PyPI。）
权限（25%）——它想要什么？
机密环境变量计数、传输类型风险（stdio与远程）、凭据敏感性、包类型。
得分等级
| 范围 | 标签 |
|---|---|
| 80–100 | 高度信任 |
| 60–79 | 适度信任 |
| 40–59 | 信任度低 |
| 20–39 | 信任度极低 |
| 0-19 | 未知/可疑 |
红旗
独立于分数的二进制标志：
| 标志 | 规则 |
|---|---|
DEAD_ENTRY | 没有软件包，也没有遥控器 |
TEMPLATE_DESCRIPTION | 匹配已知样板 |
STAGING_ARTIFACT | 测试/阶段名称模式+模板描述 |
HIGH_SECRET_DEMAND | 5+个秘密环境变量 |
SENSITIVE_CRED_REQUEST | 请求钱包密钥、数据库密码等。 |
REPO_ARCHIVED | GitHub仓库已存档 |
NO_SOURCE | 无仓库，无包源 |
DESCRIPTION_DUPLICATE | 3台以上无关服务器使用的描述相同 |
输出
该管道生成三个JSON文件：
index.json--每台服务器的得分、信号和标志stats.json--生态系统总结（分数分布、旗帜计数、顶级服务器）flags.json--按标志类型分组的服务器
{
"version": "1.0.0",
"generated_at": "2026-02-22T06:00:00Z",
"server_count": 2278,
"servers": {
"io.github.example/server": {
"trust_score": 82,
"trust_label": "High Trust",
"scores": { "provenance": 90, "maintenance": 85, "popularity": 78, "permissions": 72 },
"signals": { "has_source_repo": true, "github_stars": 1500, "..." : "..." },
"flags": []
}
}
}用法
git clone https://github.com/gigabrainobserver/mcp-scorecard.git
cd mcp-scorecard
uv venv && uv pip install -e .运行完整扫描：
# Optional: set GITHUB_TOKEN for 5000 req/hr (vs 60 unauthenticated)
export GITHUB_TOKEN=ghp_...
uv run mcp_scorecard输出转到 ./output/ 默认情况下。使用 -o 指定其他目录。
运作原理
COLLECT (2min) ENRICH (65min) SCORE (10sec) PUBLISH
MCP Registry --> GitHub API --> Calculator --> index.json
~2,300 servers ~5,600 API calls 4 categories stats.json
(5000/hr limit) 8 red flags flags.json每天通过GitHub Actions运行。总运行时间约为70分钟。所有免费API。
发展
git clone https://github.com/gigabrainobserver/mcp-scorecard.git
cd mcp-scorecard
uv venv && uv pip install -e .
uv run pytest许可证
麻省理工学院