Attest

Attest MCP 服务

为 Agent 支付提供可信扫描——直接在你的 AI Agent 中使用。

attest-mcp 是一个 Model Context Protocol 服务，可让任何兼容 MCP 的 Agent（Claude、Cursor、Windsurf、VS Code 等）扫描 Agent 支付端点，并在授权支付哪怕一分钱之前，返回清晰的安全判定和 A–F 等级。

它涵盖了当前使用中的 Agent 支付协议：x402、MPP、AP2、L402 和 HTTP 402。

由 Attest 提供支持。评分引擎完全运行在 Attest 的服务器上——此软件包只是一个转发请求的轻量客户端，因此安装它不会暴露任何专有评分逻辑。

---

为什么需要

自主 Agent 已开始自行付费。单个恶意或配置错误的端点，就可能通过冒充、列入黑名单的收款钱包、诱饵调价或故障的支付握手耗尽资金。attest-mcp 可为你的 Agent 提供快速、确定性的安全检查，作为支付工作流中的一个步骤运行。

工具

工具	功能
attest_scan	对支付端点 URL 执行完整扫描，并返回等级（A–F）、综合评分（0–100）、判定结果、危险标记、价格以及完整报告链接。向陌生端点付款前请调用此工具。
attest_grade	快速查询已扫描主机最近一次的等级。适合快速预检。

要求

• Node.js 18 或更高版本
• 任意兼容 MCP 的客户端

无需 API 密钥。

快速开始

使用 npx 直接运行（无需安装）：

npx attest-mcp

此服务通过 stdio 使用 MCP 通信，因此通常无需手动运行——只需使用以下某种配置，将 MCP 客户端指向它即可。

客户端配置

Claude Desktop

编辑 claude_desktop_config.json（Settings → Developer → Edit Config）：

{
  "mcpServers": {
    "attest": {
      "command": "npx",
      "args": ["-y", "attest-mcp"]
    }
  }
}

Cursor

添加到 ~/.cursor/mcp.json（或 Settings → MCP → Add new server）：

{
  "mcpServers": {
    "attest": {
      "command": "npx",
      "args": ["-y", "attest-mcp"]
    }
  }
}

Windsurf

添加到 ~/.codeium/windsurf/mcp_config.json：

{
  "mcpServers": {
    "attest": {
      "command": "npx",
      "args": ["-y", "attest-mcp"]
    }
  }
}

VS Code

在工作区的 .vscode/mcp.json 中添加：

{
  "servers": {
    "attest": {
      "command": "npx",
      "args": ["-y", "attest-mcp"]
    }
  }
}

其他 MCP 客户端

使用命令 npx -y attest-mcp，并选择 stdio 传输方式。

远程服务（无需安装）

不想安装任何东西？Attest 也运行着一个托管的 MCP 服务，可通过 Streamable HTTP 连接：

https://attestagent.org/api/mcp

让任意支持远程 MCP 的客户端连接到该 URL。

使用示例

连接后，只需用自然语言向你的 Agent 提问：

“付款前，请使用 Attest 扫描 https://api.example.com/paid-resource。”

Agent 会调用 attest_scan，并返回类似以下内容：

{
  "host": "api.example.com",
  "grade": "A",
  "composite": 95,
  "danger": false,
  "verdict": "Valid endpoint, established host.",
  "priceHuman": "0.01 USDC",
  "reportUrl": "https://attestagent.org/r/abc-123"
}

配置

环境变量	默认值	描述
ATTEST_BASE_URL	https://attestagent.org	覆盖 Attest API 基础 URL。仅在自托管或测试时需要。

安全与隐私

• 无需密钥、账户或 API 密钥。 服务不持有任何凭据。
• 此处不会附带专有逻辑。 评分在服务端完成；此软件包只转发请求并整理响应。
• 输入会经过验证，之后才会发出任何请求。
• 仅向外发起连接。 服务会向 Attest API 发出 HTTPS 请求，并通过 stdio 使用 MCP——不会开放入站端口。
• 扫描的 URL 和结果会记录到 Attest 的公共目录中。请勿扫描 URL 或响应包含私人或敏感信息的端点。请参阅 attestagent.org/legal。

链接

• 网站：attestagent.org
• 开发者文档：attestagent.org/developers
• 方法论：attestagent.org/methodology
• X / Twitter：@Attestagent

参与贡献

欢迎提交问题和拉取请求，详见 CONTRIBUTING.md。

许可证

MIT © Attest