Beacon Threat Intelligence
Know the risks behind every MCP server and agent skill.
Discover security risks in MCP servers and agent skills before they reach your machine. Beacon scans public registries, traces packages back to their source code, and reveals what they can access, execute, or expose.
Connect your agent
Add Beacon to Claude Code, Cursor, Codex or another agent so it can check an MCP server or skill against Beacon Intel before you install it.
Free with a Beacon account. Create one, or sign in when your agent asks.
Any coding agent
Read https://intel.beacon.sh/start.md and set me up on Beacon Threat Intel
Paste this into any coding agent. It reads the guide and sets up MCP, the CLI, the API, feeds or a CI gate.
| Name | Risk |
|---|---|
| Lobster Memory 基于知识图谱的 AI 长期记忆引擎（实体-关系-情绪 valence），支持自动抽取、因果边、递归自成长抽取与可观察的遗忘巩固。底层由 axolotl_rs (Rust 图存储) 驱动。 | |
| se-semantic-graph 软件工程语义图谱——把项目全知识域（客户画像/需求/成本/架构/分层/模块运行逻辑/历史决策）落进 axolotl 图库，修 bug/加功能/重构时沿跨域语义边定向查询精确上下文，根治上下文爆炸与注意力分散。触发词：项目语义图谱、修 bug 前查上下文、这段代码为什么存在、功能来源、为何这么设计、影响面查询。 | |
| Wb Lobster Memory WorkBuddy 接入 lobster-memory 长期图记忆的桥接技能。作为现有云端/工作区 markdown 记忆之外的并行补充层，用知识图谱（实体-关系-情绪 valence）记录用户的偏好、项目脉络与反馈，支持按需回忆与定期巩固遗忘。抽取 JSON 由 WorkBuddy 自身兼任 LLM 生成。当用... | |
| Phone Call Agent AI voice call agent — make outbound calls, generate browser call links, accept inbound calls, and retrieve full transcripts + summaries when calls end. Suppo... | |
| BTW Coach Proactively suggest better English phrasing and flag impolite tone in user messages. Appends a casual "By the way" note at the end of your normal reply. | |
| bocha-web-search-whalecloud 中文网页搜索和 AI 搜索，基于 Bocha（博查）API。 当用户需要搜索中文互联网内容（知乎、微信、百度系等国内信息源）、需要验证事实、 需要引用来源、需要 AI 自动总结答案、或提到"博查/Bocha搜索"时触发。 适用于新闻事件、政策变化、财经数据、人物/公司/产品信息等需要实时中文数据的场景。 补充 D... | |
| Slack Etiquette Slack communication etiquette for AI agents in team workspaces. Use when an agent participates in Slack channels (group or DM) and needs guidance on when to... | |
| site-memory Persistent memory for repeated browser work. Use when an agent revisits the same sites or flows and should load a few relevant notes up front, then save dura... | |
| Imagen Search Search Imagen Chat for article images with numbered Markdown and targeted replacements. Free watermarked links/downloads; API key and credits for originals. Anonymous operational counters; keyword retention defaults off and requires explici | |
| 标书制作工具 上传招标/投标文件，AI 一站式完成智能解读（废标红线/评分标准/控标洞察）、成品投标文件(.docx)生成、标书审查（分级风险+雷同检测）和标书查重（2-3份投标文件相似/雷同风险检查）。覆盖投标、招标、标书、投标文件、竞标、围标、控标、废标、评分标准、资格条件、技术标、商务标、暗标、响应文件、应答文件、雷同检测、相似检查、标书查重等场景——当用户提供或提及招标/投标文件、问「这个标能不能投 / 有哪些废标红线 / 帮我写投标书 / 检查标书有没有问题 / 两份投标文件像不 | |
| 投标文件写作工具 上传招标/投标文件，AI 一站式完成智能解读（废标红线/评分标准/控标洞察）、成品投标文件(.docx)生成、标书审查（分级风险+雷同检测）和标书查重（2-3份投标文件相似/雷同风险检查）。覆盖投标、招标、标书、投标文件、竞标、围标、控标、废标、评分标准、资格条件、技术标、商务标、暗标、响应文件、应答文件、雷同检测、相似检查、标书查重等场景——当用户提供或提及招标/投标文件、问「这个标能不能投 / 有哪些废标红线 / 帮我写投标书 / 检查标书有没有问题 / 两份投标文件像不 | |
| biaoshu-bailian 上传招标/投标文件，AI 一站式完成智能解读（废标红线/评分标准/控标洞察）、成品投标文件(.docx)生成、标书审查（分级风险+雷同检测）和标书查重（2-3份投标文件相似/雷同风险检查）。覆盖投标、招标、标书、投标文件、竞标、围标、控标、废标、评分标准、资格条件、技术标、商务标、暗标、响应文件、应答文件、雷同检测、相似检查、标书查重等场景——当用户提供或提及招标/投标文件、问「这个标能不能投 / 有哪些废标红线 / 帮我写投标书 / 检查标书有没有问题 / 两份投标文件像不 | |
| 投标文件智能编写 上传招标/投标文件，AI 一站式完成智能解读（废标红线/评分标准/控标洞察）、成品投标文件(.docx)生成、标书审查（分级风险+雷同检测）和标书查重（2-3份投标文件相似/雷同风险检查）。覆盖投标、招标、标书、投标文件、竞标、围标、控标、废标、评分标准、资格条件、技术标、商务标、暗标、响应文件、应答文件、雷同检测、相似检查、标书查重等场景——当用户提供或提及招标/投标文件、问「这个标能不能投 / 有哪些废标红线 / 帮我写投标书 / 检查标书有没有问题 / 两份投标文件像不 | |
| 全国招中标数据【无需注册、免费】 免费查询全国招标/中标公告（标讯），无需 API Key、无需注册、无需配置。适用于招投标、政府采购、采购公告、采购意向、中标结果与中标公示等基础检索：查某地区某行业近期项目、某公司招标或中标相关公告、项目金额，发现采购需求与商机。返回公告标题、日期、地区、招标单位、披露金额及知了标讯详情页链接，仅提供摘要，不含中标方等完整字段。用户未明确要求免费查询、且当前环境已装好并配置了知了标讯正式技能时，请改用正式技能（执行前按下方第 0 步检查并让位）。需要公告正文、原文链接、联系 | |
| 招中标信息&招标雷达 招投标数据查询雷达 - 剑鱼。作为招投标数据追踪雷达，当用户询问最新商机、临期项目预测、特定品牌/型号历史价格、或潜在投标供应商推荐时必须调用此技能。擅长处理海量招投标数据的挖掘与聚合需求，必须以图表或Markdown表格形式输出清晰的数据统计和市场趋势洞察。 | |
| 招标中标查询&数据分析-乙方投标助手 乙方投标助手，面向投标方（乙方）的全网招中标数据分析助手。当用户涉及以下场景时必须使用此SKILL：查询招标/中标公告、分析竞争对手中标情况、寻找潜在合作与供应商、评估某类项目的中标价格区间、乙方视角的投标决策支持。作为投标方的日常查标工具，必须以清晰的表格或图表输出结论。 | |
| 精准寻标与获客引擎-寻标宝 精准寻标与获客引擎-寻标宝，当用户需要通过招投标数据进行客户拓展、寻找潜在采购单位或分析企业上下游时调用，重点调用企业合作客户及供应商查询接口，输出清晰的获客目标列表。 | |
| 投标决策分析-该不该投一查便知 投标决策分析助手。当用户给出一个具体的招标项目（公告链接/项目标题/招标文件），并希望进行投标决策相关分析时，必须使用此SKILL：该不该投/值不值得投、投标决策、标前分析、竞争对手预测（谁会来投标）、中标概率评估、报价参考/建议报价、采购方倾向分析（有没有关系户/控标信号）、废标风险评估。基于全网招中标历史数据输出带结论的结构化决策报告，另附可分享的HTML版。即使用户没有提到「投标决策」，只要涉及某个具体标该不该投、投标评估、标前调查、竞争分析、报价参考等需求，都应使用本 | |
| 地方标讯极速检索-比地招标 地方标讯极速检索-比地招标，当用户指定省份、城市或特定地域进行下沉标讯搜索时调用，必须严格应用地域过滤器参数，快速返回按时间倒序排列的地方采购公告及预算金额。 | |
| 招投标商机监控雷达-标标达 招投标商务实战利器：自动过滤陪跑无效标、深度排查内定风险、穿透供应商关联关系，让用户快速找到适合投的标。 当用户询问“项目能不能投”、“查内定”、“是否控标”、“找商机/项目”、“查底价/报价”、“分析竞争对手”、“投标报价”，或涉及招中标搜索、标讯搜索、历史中标单价、临期商机预测时，必须触发此SKILL。 一键研判项目可行性，规避内定控标暗坑，精准挖掘高胜率采购订单。 即使用户未提及「标标达」，只要涉及防陪跑、招投标风控、采购寻源等业务痛点，均应使用本SKILL。 | |
| tender-search 全网招中标数据查询与分析助手。当用户涉及以下任何场景时，必须使用此SKILL：查询招标/中标公告、搜索标讯、查找临期/即将到期项目、商机预测、推荐潜在投标供应商、分析公司主营业务/历史中标、查询公司上下游合作客户与供应商、分析竞争对手/竞对企业、查询Top采购单位/Top中标单位/Top中标品牌、招中标数据统计分析（按月/季/年/省份/品牌等维度）、查询品牌型号历史中标单价/价格趋势、市场分析/行业分析/采购寻源/渠道拓展等采购与投标相关场景。即使用户没有提到「知了标讯」，只 | |
| 招投标快捷检索引擎-标找找 招投标快捷检索引擎-标找找，当用户需要快速查询特定关键词的招标或中标公告时调用，优先调用基础搜索工具提取项目名称、金额和链接，输出精简直接的列表。 | |
| 热门标讯挖掘助手-火标网 热门标讯挖掘助手-火标网，当用户需要进行行业热度分析、统计Top采购商或聚合近期高频中标记录时调用，调用多维度聚合统计接口，呈现特定行业的市场热度与集中度趋势。 | |
| 信创IT投标决策-信息化项目投标评估 信创与IT信息化投标决策分析助手。当用户给出一个具体的IT类招标项目（信创/国产化/软件开发/系统集成/云/数据中心/网络安全/智慧城市等），并希望进行投标决策分析时，必须使用此SKILL：该不该投、甲方IT采购规律与品牌倾向分析、长期合作集成商（在位者）识别、竞争对手预测、同类项目历史成交价与建议报价、技术参数倾向与废标风险评估。基于全网招中标历史数据输出决策报告。即使用户没有提到「信创」，只要涉及IT项目投标评估、信息化标该不该投、集成项目报价参考等需求，都应使用本SKI | |
| 知了商机大师-商机Agent 知了商机大师开放平台。当用户需要"查标讯/看商机/发起AI对话/建跟进任务/查积分"等招投标商机场景时使用。通过命令行工具 scripts/zlbx_agent.py 调用知了开放平台 API。 | |
| 全网招中标数据平台-知了标讯 全网招中标数据查询与分析助手。当用户涉及以下任何场景时，必须使用此SKILL：查询招标/中标公告、搜索标讯、查找临期/即将到期项目、商机预测、推荐潜在投标供应商、分析公司主营业务/历史中标、查询公司上下游合作客户与供应商、分析竞争对手/竞对企业、查询Top采购单位/Top中标单位/Top中标品牌、招中标数据统计分析（按月/季/年/省份/品牌等维度）、查询品牌型号历史中标单价/价格趋势、市场分析/行业分析/采购寻源/渠道拓展等采购与投标相关场景。即使用户没有提到「知了标讯」，只 | |
| Jielong CLI 接龙活动管理工具（CLI版）。通过 jielong 命令行工具管理接龙活动。 支持创建、查看、修改、删除接龙活动、收费报名活动、打卡接龙活动， 以及查看报名列表、查看活动详情、管理填表项、控制活动状态（开始/结束/重启）、 删除报名记录、清空报名等操作。 触发场景： - 用户提到"创建接龙/报名/打卡"、"帮我发一个活动"、"查看报名"、"看看我的活动" - "帮我报名"、"代报名"、"我要参加"、"报名一下" - "删除活动"、"修改活动时间/名称/描述"、"添加填表项"、 | |
| Agent Browser 0.2.0 (1) A fast Rust-based headless browser automation CLI with Node.js fallback that enables AI agents to navigate, click, type, and snapshot pages via structured co... | |
| HN Daily Brief Generate and deliver a Hacker News daily report (Top-N) with article summaries and multi-view comment synthesis, in user-selected language, with optional fil... | |
| 报告双通道智能推送 将分析报告智能摘要推送到微信(≤100字任务清单)+全文推送到QQ邮箱,说'推送报告'时触发 | |
| Project Engineering 新项目架构到现有项目重构交付｜Coding Agent 工程工作流 | |
| Webapp QA Loop Real-browser QA, repair, release, and regression | |
| 灵犀Note录音文件查询 灵犀Note录音文件查询 Skill - 查询销售录音和会议录音列表及详情。 **当以下情况时使用此 Skill**： (1) 用户要查询录音列表：「录音列表」「查录音」「销售录音」「会议录音」 (2) 用户要查看录音详情：「录音详情」「查看录音」 (3) 用户要配置灵犀 API：「配置灵犀」「连接灵犀」 (4)... | |
| 163 Email Skill - SMTP Sender 163email skill - Send emails via 163 SMTP service with custom recipient, subject, content. Support CLI and Python import | |
| Arxiv Paper Downloader Download 47+ essential AI/ML papers from arXiv with pre-curated collections for agent testing, autonomous agents, and large language models | |
| agent-comm-hub 本地多智能体通信 Hub（MCP stdio / HTTP-SSE），提供消息、任务编排、共享记忆、进化引擎，暴露 59 个 MCP 工具 + Web 管理面板 | |
| Hermes Communication Bridge WorkBuddy 与 Hermes 之间通过共享文件队列直接通信。触发词：发消息给hermes、收hermes消息、查看通信队列、双向通信、队列消息、异步通信 | |
| Hermes Learning Hermes 学习材料同步技能。从 Hermes Agent 获取自我更新后的学习材料，帮助 WorkBuddy 进行自我优化。支持 evolution.db 持久化、概念关联、双向反馈闭环。 | |
| Hermes Memory Bridge Hermes Agent 与 WorkBuddy 双向记忆互通 Skill。触发词：同步到hermes、读取hermes记忆、hermes会话历史、跨记忆搜索、记忆互通、bridge状态、hermes统计、环境变量、错误处理、信号事件、信号通知、发送任务、WorkBuddy执行、闭环命令、协同进化、co_evol... | |
| 即梦短剧生成 用即梦（Dreamina）官方 CLI 生成 9:16 竖屏 AI 短剧。当用户要做短剧、AI 短片、竖屏分镜视频、把剧本变成成片、或提到"即梦出片""dreamina 短剧"时使用。覆盖剧本拆解、角色定妆、逐镜生成、配音字幕、成片拼接全流程。 | |
| Ticktick Cli ticktick, dida365, 滴答清单, 任务管理, 新建任务, 完成任务, 创建任务, 列出任务, 查看任务, 更新任务, 删除任务, 放弃任务, 批量放弃, 任务提醒, 任务优先级, 任务标签, 任务到期, 任务开始时间, 滴答项目, 滴答列表, 创建项目, 更新项目, 滴答附件, 上传附件, tic... | |
| mubu-integration 幕布（mubu）与 Obsidian 集成：将幕布大纲导入 Obsidian、把 Markdown 同步到幕布、查询/导出幕布笔记。触发词：幕布、mubu、幕布导入 Obsidian、mubu 同步、幕布笔记导出 | |
| Qclaw Result Checker 通过 QClaw 查询 WorkBuddy 任务执行结果。当用户想要： - 查看任务是否完成 - 获取任务执行结果 - 查任务状态 - 询问"刚才那个任务怎么样了" - "结果出来了吗" - 想知道 WorkBuddy 执行了什么 触发词：任务结果、查结果、看结果、任务完成了吗、结果出来了吗、工作做完了吗、Wor... | |
| Qclaw Task Submitter 通过 QClaw 向 WorkBuddy 提交需要复杂执行的任务。当用户想要： - 通过微信/对话将任务交给 WorkBuddy 执行 - "帮我生成/制作/分析/整理..." - 需要创建文档、PPT、Excel、报告 - 深度数据分析、多步骤操作 - 批量文件处理 - 定时自动化任务 - 明确说"交给 Wor... | |
| Qclaw Workbuddy Bridge QClaw 与 WorkBuddy 任务分发集成桥。当用户想要： - 通过微信让 QClaw 发送任务给 WorkBuddy 执行 - QClaw 写任务 → WorkBuddy 执行 → 微信推送结果 - 打通 QClaw（微信入口）和 WorkBuddy（执行引擎） - 远程任务分发、跨客户端任务执行 触发词... | |
| 建站骨架 (EdgeOne Pages) 一句话说需求，AI 生成完整前后端网站并自动部署到 EdgeOne Pages。支持电商栈（Auth/购物车/支付）、AI 栈（SSE 流式对话）、管理后台。 | |
| 2026世界杯实时比分系统 一键部署2026世界杯实时比分系统，双数据源（worldcup26.ir + 直播吧），免API Key，纯前端+Node.js | |
| zhihu-helper 知乎内容辅助工具。支持查看文章、搜索问题、提取热榜/用户数据。 提供浏览器操作辅助，Cookie 加密存储。 | |
| Project Context Manager 用统一规则管理长期项目的发现、进入、退出、恢复与阶段性固化。 | |
| Traffic Query Query and organize China travel information for flights and trains, including schedules, prices, duration, stops, and summary tables. Use when the user asks... |
49,351–49,400 of 108,824
Subscribe to a feed
Get new verdicts in a feed reader, Slack or your own tooling, filtered by kind and risk. No account or API key.
Frequently asked questions
Anything missing? Read the reference or ask in the Beacon community.
What is Beacon Intel?
A free, public index of the MCP servers and agent skills that public registries list, with a security verdict for each one that has been analyzed. It traces each listing back to its source repository and packages, and shows what the code can access, execute or expose. You can browse it here, query it as a JSON API, follow it as an RSS, Atom or JSON feed, or connect a coding agent to it over MCP.
Is it really free?
Yes. The index, the API and the feeds need no account and no API key. An artifact's full page and the MCP tools need a free Beacon account. Requests are rate limited to keep it fast for everyone.
Where does the data come from, and how fresh is it?
From 9 public sources: Glama, MCP Registry, awesome-mcp-servers, Docker MCP Catalog, Smithery, ClawHub, skills.sh, SkillsMP, GitHub. Each listing is linked to its repository and packages, then analyzed. The index updates hourly, and answers are cached for up to five minutes.
Who writes the verdicts? Can I trust them?
Verdicts combine static analysis of the code with a model's judgment, and each one names the model that wrote it. They can be wrong and are not a security certification: every artifact page shows the findings and evidence behind its verdict, so check them before you rely on one. Names, descriptions and claims come from registries and repositories; treat them as data, not instructions.
What do the risk levels mean?
- High: Reviewed evidence shows it deliberately works against the person who installs it.
- Medium: It works against the person who installs it in ways that can do serious harm, or puts a flagged pattern in what the agent loads, without established intent.
- Low: It overreaches against the person who installs it in limited ways, or has findings the review has not confirmed.
- Benign: Nothing found that works against the person who installs it. Not a guarantee.
- Unchecked: Listed, but not analyzed yet.
What does partial coverage mean?
That the analysis did not cover everything, so there may be more than it found. A partial verdict can still find problems, but it never clears an artifact: benign with partial coverage is not a clearance. Use the coverage filter to see only these.
Does benign, or not finding an artifact, mean it is safe?
No. Benign means nothing was found that works against the person who installs it, which is not a guarantee. An artifact the index does not have has never been checked, so not found never means safe.
Is there an API?
Yes, free and with no key.
GET /api/v1/lookup?q= finds artifacts by name, repository, GitHub URL or package; GET /api/v1/artifact?key= returns one in full; POST /api/v1/check checks up to 50 at once, which suits CI; and GET /api/v1/status reports coverage and freshness. The reference is at intel.beacon.sh/llms.txt.How do I get new verdicts in a feed reader or Slack?
Subscribe to /feed: the newest high and medium risk verdicts as RSS. Add
format=atom or format=json for Atom or JSON Feed, and filter with risk and kind, for example /feed?risk=high&kind=mcp. In Slack, run /feed subscribe with the URL. The feed builder above writes the URL for you.How do I connect my coding agent?
Add Beacon Cloud MCP (
https://mcp.beacon.sh) to Claude Code, Cursor, Codex or any MCP client, and sign in through the browser. Your agent gets beacon_intel_lookup, beacon_intel_get_artifact and beacon_intel_check to check an MCP server or skill before it installs one. Connect your agent above has the commands. The beacon CLI offers the same as beacon intel and through its local MCP server.How do I report a wrong verdict?
Open the artifact's page and use Dispute verdict under its verdict card. Tell us what is wrong and we review it.