用途
hvtracker-mcp 是一个 MCP 服务器，用于在连接 AI 智能体、框架或 MCP 服务器之前进行供应链信任检查。它把公开信号（软件包来源、OSSF Scorecard、签名提交等）汇总为有据可查的 HVTrust 评分与判定，帮助用户避免连接来源不可信的 AI 依赖。
主要能力
该 MCP 服务器提供以下工具：
- verify_mcp_server：对 MCP 服务器、软件包、GitHub 仓库或智能体名称给出连接前的信任判定。
- check_agent_trust：查询已跟踪 AI 智能体或框架的信任档案，包括运行时能力（MCP 状态、提供方、插件面、来源漂移）以及其 Ed25519 签名信任凭证的 URL。
- compare_agents：将两个智能体并排对比，给出来自证据的判定以及已发布的对比页面链接。
- search_agents：按名称、仓库、描述或类别搜索 HVTracker 注册表。
- scan_stack：对整个依赖集合进行批量连接前信任检查——可粘贴 requirements.txt、package.json、MCP 客户端配置或纯列表，获得每个条目的信任判定及整体栈摘要。
- list_categories：列出 HVTracker 类别及其智能体数量，以便进一步获取某类别的排行榜。
- get_leaderboard：按 HVTrust 评分排名的顶级已跟踪 AI 智能体与 MCP 服务器，可选按单一类别过滤。
- get_agent_history：查询某个已跟踪智能体 90 天内的信任评分、等级与排名历史，判断其趋势是改善还是下降。
使用方式
该仓库同时提供托管远程服务器，以及面向偏好基于软件包安装客户端的本地 stdio 包。支持通过 MCP 客户端配置进行连接。在 GitHub Actions 中，HVTrust Gate 可运行相同的信任检查：无需任何配置即会读取 requirements.txt、pyproject.toml、package.json 和 MCP 客户端配置，并在更改这些文件的拉取请求上评论其所依赖的每个 AI 智能体与 MCP 服务器的 HVTrust 等级。
测试时可以指定不同的 HVTracker 基础 URL。
集成与发布
官方 MCP Registry 清单为 server.json。在 GitHub Actions 中，需在同一版本的 npm、PyPI 和 GHCR 包上线后运行 “Publish MCP Registry” 工作流。带标签的发布版本会基于 manifest.json 构建适用于 Claude Desktop 的 .mcpb 捆绑包。
适用场景
适合在引入 AI 智能体、MCP 服务器或框架依赖前做信任评估，也可用于 CI 中持续检查 AI 依赖的安全性，以及对比和跟踪已跟踪智能体的信任变化趋势。
限制
HVTracker MCP 会将用户提供的搜索字符串或服务器标识符发送至 https://hvtracker.net 以获取公开信任数据。它不需要 API 密钥，也不会写入用户系统。当前数据与方法论请参见 HVTracker 站点，仓库隐私说明见 PRIVACY.md。其他关于收费、价格、平台细节，资料中暂未提供。
