SkillTriage

dev.moorai由 moorai.dev 發布官方發布者v0.6.1更新於 Nov 1, 2026

Scan AI agent skills, MCP server packages and MCP configs before you install them. Static analysis.

已驗證Streamable HTTP可網頁執行開發者工具安全與監控

概覽

AI 產生的概覽

遠端 MCP 伺服器，在安裝前對 npm、PyPI 與 GitHub 套件、MCP 用戶端設定及 agent 技能檔案做靜態分析掃描。

可以做什麼
  • 掃描已發佈的 npm、PyPI 或 GitHub 套件：下載後進行靜態分析，npm 與 PyPI 套件另有十項 MCP 安裝前檢查、信譽評分與已知受損版本檢查
  • 檢查貼上的 MCP 用戶端設定：依位置列出每個 npm 或 PyPI 啟動項目、版本固定方式、已知受損版本，以及對啟動程式碼的靜態分析
  • 以同一靜態分析引擎掃描單一 agent 技能或指令檔案，例如 SKILL.md、AGENTS.md 或 tool.json
  • 查詢公開目錄中已發佈的 npm 或 PyPI MCP 伺服器套件結論，不下載也不掃描
適用情境
適合在助理即將加入 MCP 伺服器、安裝套件或採用 agent 技能前，先做一次快速風險檢查。也適合稽核現有 MCP 用戶端設定中未固定版本或已知受損的啟動項目。
執行需求
遠端 streamable HTTP 端點；未宣告驗證、環境變數或標頭。需要能連線至該端點的網路，呼叫依 IP 位址限流。
安裝前請注意
套件名稱、設定內容與技能文字會傳送給第三方服務；伺服器表示不儲存送出的文字，只保留雜湊、結論與不含內容的發現。僅做靜態分析，乾淨結果不代表安全，目錄中沒有結論也不代表乾淨。依 IP 位址限流。

安裝

在 SourceWeft 中

  1. 開啟 儀表板中的 SkillTriage，將其新增到工作區。
  2. 為需要使用其工具的對話啟用該服務。

Web executable，透過 Streamable HTTP。 遠端服務在工作區中設定後即可從網頁執行環境執行。

交給代理程式安裝

把這段提示詞貼上到 Claude Code、Codex、Cursor 等代理程式，或 SourceWeft 對話中。代理程式會讀取該伺服器的安裝指南，先向你展示發布者、端點和登入方式，經你同意後再把它新增到你的客戶端。金鑰不會寫進任何命令。

閱讀 https://sourceweft.com/mcp/dev.moorai%2Fskilltriage/install.md，並按其中說明把這個 MCP 伺服器接入我的客戶端。修改任何設定之前，先告訴我它的發布者、端點和登入方式，等我確認。不要把 API 金鑰寫進命令或我會提交的檔案；問我金鑰應從哪裡取得。

檢視代理程式所依據的安裝指南

其他 MCP 客戶端

把它新增到你客戶端的 mcpServers 設定中。

{
  "mcpServers": {
    "skilltriage": {
      "type": "http",
      "url": "https://skilltriage.moorai.dev/mcp"
    }
  }
}

工具

4

scan_package

Scan an MCP server or skill package

Download one published package and run static analysis on its code with MoorAI's open-source engine. npm and PyPI packages also get ten MCP pre-install checks on their registry metadata, a reputation score and a known-compromised release check. Static analysis only: the package is never installed and the server is never run. Returns a verdict (CLEAN, CAUTION, REVIEW, DO-NOT-INSTALL or NAME-NOT-PUBLISHED), content-free findings (threat ids, categories, file paths, hashes; never file contents) and a permalink. The package name and version are sent to its registry. A completed analysis is reused for 24 hours; a new one can take a minute and runs one at a time.

輸入參數ref必填

scan_mcp_config

Check an MCP client config

Check a pasted MCP client config (.mcp.json, claude_desktop_config.json, mcp.json, Codex config.toml). Reports each npm or PyPI launch by its position and how its version is pinned (exact, @latest, a tag or range, none), flags releases on the known-compromised list, and runs static analysis over the text. Server names, package names, arguments, env and header values are never returned or stored; remove secrets before sending anyway. Static analysis only; nothing is run or fetched. Returns a verdict (CLEAN, CAUTION, REVIEW, DO-NOT-INSTALL or NAME-NOT-PUBLISHED), the pinning advice and a permalink.

輸入參數text必填filename

scan_skill

Scan an agent skill file

Scan one agent skill or instruction file (SKILL.md, AGENTS.md, a tool.json, any text file) with MoorAI's open-source engine. Static analysis only; nothing is run. The text is written to a temporary directory, scanned and deleted; only its hash, the verdict and content-free findings are kept. Returns a verdict (CLEAN, CAUTION, REVIEW, DO-NOT-INSTALL or NAME-NOT-PUBLISHED), the findings and a permalink.

輸入參數text必填filename

lookup_verdict

Look up a published MCP server verdict

Look up the verdict the public catalogue has published for an MCP server package on npm or PyPI. Returns found:false when the catalogue has no published verdict for that name; that is not a clean result. Nothing is downloaded or scanned. This request names the package to the server; to match without naming it, download /api/reputation-feed.json and match on your side.

輸入參數name必填versionecosystem必填

版本歷史

1
  1. v0.6.1最新Nov 1, 2026

評分

已滿足適用檢查項的 83%

該評分衡量此收錄條目的完整程度，依據註冊中心條目、端點與公開來源計算得出。它不是對伺服器本身的評價，也不表示伺服器安全或目前可用：可連通性是帶日期的檢查結果，評分也不包含安裝量或使用者評價。

  • 近 30 天內可連通必需25 分
  • 已宣告認證方式必需10 分
  • 已列出工具必需15 分
  • 描述必需15 分
  • 圖示10 分
  • 文件15 分

    請宣告包含 README 的 GitHub 儲存庫，或在 OAuth 受保護資源後設資料中提供 resource_documentation。

  • 授權條款不適用

    託管服務按其提供方的條款使用，因此這裡不要求授權條款。此檢查項不計入百分比。