BlackDome Threat Intel

BlackDome MCP 服务

让你的 AI Agent 直接访问实时蜜罐威胁情报。查询攻击者 IP、浏览入侵指标（IOC）、检查捕获的凭据和恶意软件载荷、分析威胁行为者，并生成实时全球攻击地图——这一切都可以通过 Claude、Cursor 或任何兼容 MCP 的客户端完成。

大多数工具免费且无需 API 密钥（公共社区层级）。部分高价值情报需付费计划。

快速开始

选项 1 — 云端 MCP（推荐，无需安装）

只需一个 URL，即可在所有支持远程 MCP 的客户端中使用（Claude Desktop、claude.ai 网页应用、移动端、Cursor）：

https://api.blackdome.ai/mcp

免费工具无需密钥即可使用。要解锁付费层级（凭据情报、载荷、行为者、战情板、STIX 导出），请在 https://blackdome.ai/pricing 获取 API 密钥，并将其添加为 Authorization 标头：

{
  "mcpServers": {
    "blackdome-cloud": {
      "url": "https://api.blackdome.ai/mcp",
      "headers": {
        "Authorization": "Bearer bd_your_key_here"
      }
    }
  }
}

选项 2 — 本地运行

使用 uvx（包含在 uv 中）——它会按需获取并运行服务，无需单独安装，也不会遇到 PATH 问题：

uvx blackdome-mcp

更喜欢固定安装？也可以使用 pip install blackdome-mcp——但如果客户端提示“command not found”，请参阅文末的故障排除条目。

免费公共工具无需 API 密钥即可使用。要解锁付费层级，请在 https://blackdome.ai/pricing 获取密钥。

Claude Desktop

将以下内容合并到 claude_desktop_config.json 中——macOS 上的路径为 ~/Library/Application Support/Claude/，Windows 上的路径为 %APPDATA%\Claude\——然后重启 Claude：

{
  "mcpServers": {
    "blackdome": {
      "command": "uvx",
      "args": ["blackdome-mcp"],
      "env": {
        "BLACKDOME_API_KEY": "bd_your_key_here"
      }
    }
  }
}

env 块为可选项——省略 BLACKDOME_API_KEY 即可仅使用免费公共工具。

Claude Code

只需一条命令——密钥会保存在 MCP 配置中，无需维护 shell 导出设置（普通的 export BLACKDOME_API_KEY=... 只在当前终端会话中有效，下一个会话中的付费工具将无法继续使用）：

claude mcp add blackdome -e BLACKDOME_API_KEY=bd_your_key_here -- uvx blackdome-mcp

仅使用免费工具：

claude mcp add blackdome -- uvx blackdome-mcp

Cursor

添加到 ~/.cursor/mcp.json（全局）或 .cursor/mcp.json（项目级）：

{
  "blackdome": {
    "command": "uvx",
    "args": ["blackdome-mcp"],
    "env": {
      "BLACKDOME_API_KEY": "bd_your_key_here"
    }
  }
}

API 密钥行为

• **无密钥：**免费社区工具可正常使用；付费工具会明确返回 401。
• **密钥无效：**付费工具（以及 whoami）会明确报错 401 Invalid API key——不会静默回退到免费层级结果。无论密钥是否有效，免费工具都能继续使用。
• **密钥过期／计划已取消：**会明确报错 403 API key has expired／403 Tenant account is inactive，不会返回降级数据。
• **密钥有效，但计划不匹配：**如果你的计划未包含某项工具所需的功能，该工具会明确返回 403；可随时通过 whoami 查看已授予的功能。

如果付费工具返回的内容少于预期，请先运行 whoami——它会报告你的计划、功能和实时配额。

可用工具

免费工具无需密钥即可使用。付费工具需要使用套餐包含所列功能的 API 密钥。

工具	层级	描述
lookup_attacker_ip	免费	查询单个攻击者 IP 的完整档案，包括事件、协议、凭据（密码已遮盖）、MITRE 和边缘节点
top_attackers	免费	查看指定时间段内最活跃的攻击者 IP，可选择一个深入调查
attack_map	免费	获取近期带地理位置的攻击事件，用于实时地图（限制 ≥ 10）
attack_heatmap	免费	按国家汇总的攻击热力图，包含质心（限制 ≥ 5）
credential_preview	免费	查看近期凭据样本（在服务端遮盖）和汇总数据预览
verify_sigil	免费	按 ID 验证 BlackDome Sigil / 审计记录
recent_iocs	免费	浏览近期已删减的 IOC，可按类型/严重程度筛选（社区数据延迟 72 小时，最多 25 行）
ioc_trends	免费	查看汇总的 IOC 趋势，包括总量、细分数据、每日新增和排名靠前的 MITRE 项目
export_iocs	免费（json/csv）· Pro（stix）	导出 IOC 信息流；STIX 捆绑包需要 stix_export 功能
search_credentials	Enterprise（credential_intel）	使用明文密码搜索全局凭据库
credential_stats	Enterprise（credential_intel）	查看汇总凭据统计数据，包括排名靠前的用户名/密码和细分数据
list_payloads	Pro（api_access）	列出捕获的恶意软件载荷，或按 sha256 获取单个载荷（VT/MB 情报）
get_actor	Pro（api_access）	列出已聚类的威胁行为者，或获取某个行为者的会话
warboard	Pro（api_access）	查看包含入侵叙述和攻击者命令尾迹的 Sigil 排行榜
list_notable_sessions	Enterprise（session_intel）	查看从僵尸网络噪声中筛选出的、经人工标注的排名靠前的攻击者会话
get_session_transcript	Enterprise（session_intel）	获取单个攻击者会话的结构化命令/输出记录
list_detonations	Pro（detonation_intel）	查看包含判定结果、Magika 标签和 IOC 数量的恶意软件引爆列表
get_detonation_report	Pro（detonation_intel）	获取完整的引爆报告，包括行为、IOC、工件分类和报告可用性
get_artifact	Pro（detonation_intel）	获取工件档案，仅包含关联的引爆、IOC 和会话标识符
whoami	任何密钥	查看你的租户、套餐、功能和实时配额

套餐： Community（免费）→ Analyst（$49，实时情报）→ Pro（$299，新增 stix_export、api_access、detonation_intel）→ Enterprise（$2000，新增 credential_intel、bulk_api、session_intel）→ OEM（$5000）。请参阅定价。

示例提示词

连接后，可以尝试向 AI 助手提问：

• “本月攻击蜜罐最活跃的攻击者有哪些？”
• “查询攻击者 IP 176.65.139.56，并总结其尝试过的操作。”
• “显示上周最新的恶意 sha256 IOC。”
• “IOC 趋势如何？哪些 MITRE 技术正在激增？”
• “绘制攻击来源地的热力图。”
• “将 IOC 信息流导出为 CSV，以便我将其载入 SIEM。”
• “我使用的是哪个套餐，有哪些功能？”（运行 whoami）
• “搜索捕获的 SSH 凭据，查找用户名 root。”（付费）
• “显示本周最活跃的人工标注攻击者会话。”（Enterprise）
• “获取 sha256 为 a6713518f2e26745683d33ded61b465d0645d7af850464c559fba8bb84e68398 的引爆报告。”（Pro）

环境变量

仅限本地（stdio）服务端使用——云端端点则通过 Authorization: Bearer 标头接收密钥。

变量	必需	默认值	描述
BLACKDOME_API_KEY	否	—	Bearer API 密钥。免费工具无需密钥即可使用；付费工具则需要密钥
BLACKDOME_BASE_URL	否	https://api.blackdome.ai	API 基础 URL
BLACKDOME_TIMEOUT	否	15	请求超时时间，单位为秒

速率限制

免费社区版限制为每分钟约 30 次请求、每天 100 次请求，且社区 IOC 数据有 72 小时的新鲜度延迟。付费方案会大幅提高这些限制（Enterprise：每分钟 1000 次请求，每天 50,000 次请求）。达到限制时，服务会返回明确的 429 错误，并注明重试时间。使用 whoami 查看实时配额。

故障排除

• 在 GUI 客户端中出现“command not found”： GUI 应用不会加载你的 shell PATH。最简单的解决方法是使用上文所示的 "command": "uvx", "args": ["blackdome-mcp"]。如果你通过 pip 安装，请运行 which blackdome-mcp（macOS/Linux）或 where blackdome-mcp（Windows），然后将完整路径粘贴到 command 字段中。
• 付费工具返回 401/403： 请参阅 API 密钥行为——错误信息会明确说明情况，whoami 会准确告知你的密钥具备哪些权限。

安全性

• 只读。 每个工具都会发送 GET 请求，服务绝不会修改 BlackDome 数据。
• 免费版无需密钥。 公共工具无需 API 密钥，只会提供社区版数据。
• 凭据已屏蔽。 免费的 lookup_attacker_ip 工具会在返回前将捕获到的密码屏蔽为 ********；credential_preview 会在服务端屏蔽。明文密码仅由需要 credential_intel 功能的付费工具 search_credentials 返回。
• 密钥保留在本地。 你的 API 密钥会从环境中读取，并且只会通过 HTTPS 发送到 BlackDome API。MCP 服务不会存储任何数据，只会直接代理请求到 BlackDome。

许可证

MIT