Cork MCP

Cork + AI - 适用于 ChatGPT、Claude、GitHub Copilot、Microsoft 365 Copilot、Gemini，以及任何支持 MCP 的 Agent

非官方。由社区构建的 Claude Code Skill 和 MCP 服务，用于 Cork API。与 Cork 无关联，未获其认可或赞助。 Cork 和 Cork Vantage 是 Cork Protection, Inc. 的商标。

涵盖每项 Cork API 操作，还提供跨客户端风险归因、优先考量可利用性的漏洞分流、逾期合规检测和连接器健康检查（可发现长期未更新的连接器），这些都是无状态 API 镜像无法通过单次调用回答的问题。可与您已在使用的 AI 配合使用 - ChatGPT（Plus/Pro+，在此连接器重新发布前暂停；参见 mcp-install.md）、Claude Desktop、Codex、Claude Code、Claude Cowork 和 GitHub Copilot - 还可通过远程方式使用 Microsoft 365 Copilot / Copilot Studio 和 Google Gemini。免费、开源，可在您的笔记本电脑上运行。专为 MSP 所有者打造。无需编写代码。

适用于您的 Agent

安全说明（在此连接器重新发布前）。 不要将此连接器放在 supergateway 桥接程序或任何其他 stdio-to-HTTP 桥接程序后面， 即使在 localhost 上也不行。该桥接程序没有添加密码，因此任何能够访问 其端口的人都可以使用您的凭据调用 MCP 工具。请使用默认的 stdio 传输方式。如果您为远程 Agent 设置了桥接程序或隧道，请将其 关闭。修复正在进行中。

MSP 所有者实际使用的六种 Agent（可自行安装，现已可用）：

您的 AI Agent	如何安装 Cork Skill
Claude Desktop	运行安装程序，然后前往 Settings > Extensions 注册 cork-mcp（无需编辑 JSON）。
ChatGPT（付费方案）	在此连接器重新发布前暂停：ChatGPT 需要 HTTPS 服务，而此版本仅支持 stdio，因此需要使用不添加密码的 stdio-to-HTTP 桥接程序。参见 mcp-install.md 中的安全说明。
Codex CLI	粘贴下方的安装提示词。
Claude Code	粘贴下方的安装提示词。
Claude Cowork	粘贴下方的安装提示词。
GitHub Copilot（VS Code）	运行安装程序，在 mcp.json 的 servers 键下添加 cork-mcp，然后选择 Agent 模式。

ChatGPT 需要远程 HTTPS 服务。此连接器仅支持 stdio，因此需要使用不添加密码的 stdio-to-HTTP 桥接程序；在连接器重新发布前，这条路径暂时停用。参见 mcp-install.md 中的安全说明。

同样适用于 Microsoft 和 Google 技术栈

安装量很大，但需要坦诚说明：这属于远程 / 企业路径，而不是您刚刚安装的本地二进制文件。

Agent	所需条件
Microsoft 365 Copilot / Copilot Studio	在此连接器重新发布前暂停：Copilot Studio 需要 HTTPS 服务，而此版本仅支持 stdio，因此需要使用不添加密码的 stdio-to-HTTP 桥接程序。参见 mcp-install.md 中的安全说明。
Google Gemini	Gemini CLI 在本地运行 - 与 Claude Code 相同。Gemini app 在远程运行，需要使用与 ChatGPT 相同的暂停远程路径。参见 mcp-install.md。

原生支持 Skill 的 Agent（也适用）： Hermes 和 OpenClaw 可直接读取此 Skill 的 SKILL.md，并且支持 MCP - 请参见下方的安装部分。还可通过 MCP 与 Cursor、Windsurf、Cline、Continue.dev 和 Zed 配合使用。各工具的完整接入说明：docs/which-agent.md。

要使用多个 Agent？ 通过一条命令即可在所有 51 种以上受支持的 Agent 中安装：npx skills add Servosity/msp-skills@latest（需要 Node.js，然后为 CLI/MCP 二进制文件运行各 Skill 的安装程序）。参见 docs/which-agent.md。

60 秒内完成安装

更喜欢使用 Claude Code 插件？添加一次市场，然后安装：

/plugin marketplace add Servosity/msp-skills
/plugin install cork@msp-skills

路径 A - 将一条提示词粘贴到你的 AI Agent 中（推荐）

将以下内容复制到 Claude Code、Codex CLI 或 Claude Cowork 中：

在此 Agent 工作区中安装来自 Servosity/msp-skills 的 Cork Skill 和 MCP 服务。如果此工作区使用 POSIX shell（macOS、Linux、WSL 或 Bash），请运行 bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cork/install.sh)。如果使用 Windows PowerShell，请运行 iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cork/install.ps1 | iex。然后按照 README 进行身份验证，并运行 cork-cli --help 以了解详情。

同一条提示词适用于任何可以运行 shell 的 Agent。

路径 B - 自行运行安装程序

Windows（PowerShell）：

iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cork/install.ps1 | iex

macOS / Linux：

bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cork/install.sh)

安装程序会将 cork-cli（CLI）和 cork-mcp（MCP 服务）安装到用户的 bin 路径中。Claude Code、Codex 和 Cowork 会通过此目录中的 SKILL.md 发现 Skill。

验证：

cork-cli --version

升级到最新版本

安装程序始终会获取当前版本，重新运行即可升级：

macOS / Linux：

bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cork/install.sh)

Windows（PowerShell）：

iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/cork/install.ps1 | iex

Claude Code 插件用户：/plugin update cork@msp-skills。

添加到 Claude Desktop、GitHub Copilot、Gemini CLI、Microsoft 365 Copilot 或其他 MCP 客户端

安装程序运行后，请参阅 mcp-install.md 和 docs/which-agent.md，了解各 Agent 的连接方法——每个 Agent 都有专门的章节，其中包括 GitHub Copilot 的 servers 键，以及远程 Microsoft 365 Copilot / Copilot Studio 的连接方式。Claude Desktop 的 Settings > Extensions 面板是最简单的方法；对于偏好编辑 JSON 的用户，mcp-install.md 中记录了 MCP 配置块。

为 Hermes 安装

在 Hermes CLI 中：

hermes skills install servosity/msp-skills/skills/cork --force

在 Hermes 聊天会话中：

/skills install servosity/msp-skills/skills/cork --force

Hermes 原生支持 MCP，因此也可以直接使用 cork-mcp 服务——安装路径和环境变量都相同。

为 OpenClaw 安装

告诉你的 OpenClaw Agent（复制以下内容）：

从 https://github.com/servosity/msp-skills/tree/main/skills/cork 安装 cork Skill。该 Skill 定义了如何通过 openclaw: frontmatter 块安装其必需的 CLI（cork-cli）。

OpenClaw 目前尚未普遍开放；frontmatter 配置已预先提供，OpenClaw 一经发布便会立即启用。

身份验证

设置 CLI 所需的 API 密钥（Cork 门户 > Settings > API Keys）：

export CORK_API_KEY=<your key>
cork-cli doctor

在运行任何会访问数据的操作之前，doctor 会确认凭据是否有效。即使凭据被拒绝，它也会以 0 退出，因此脚本应添加 --fail-on error。

关于 Cork 密钥，有一点值得提前了解：API 密钥继承创建它的用户所拥有的权限。 如果分销商或集成端点返回 403，通常意味着生成该密钥的操作员没有相应权限范围，而不是密钥有误。这一特性也能为你提供最佳控制方式——只读操作请生成只读密钥。请参阅 governance.md。

提问前先同步

search、score regressions 以及其他几个命令中的客户端名录查询都会读取本地镜像。请先填充一次：

cork-cli sync

sync 对 Cork API 执行只读操作（仅发送 GET 请求），并将数据写入你自己的用户帐户下的 SQLite 文件。想要获取更新的数据时，可以重新运行；如果镜像已过期，命令会提示你，而不会使用你意料之外的数据作答。

此技能的作用

MSP 经常提出的问题	命令
为什么这家客户的风险评分发生了变化？是哪个组成部分导致的？	cork-cli score attribute <client-uuid> --since 30d
整个客户组合中，本周哪些客户的情况恶化最多？	cork-cli score regressions --since 7d
应该优先修补什么？请按实际遭受利用的情况排序。	cork-cli vulnerabilities triage
公告刚刚提到了一个 CVE。我们是否受到影响？影响在哪里？	cork-cli vulnerabilities exposure CVE-2023-21608
哪些合规事件已超过整改期限？	cork-cli compliance overdue
哪些连接器显示健康，但已停止同步？	cork-cli integrations health
这家客户完成入驻后，是否已实现全面监控？	cork-cli coverage gaps --client <client-uuid>
哪些未获保障的客户承担着最高风险？	cork-cli warranties exposure
身份验证和连接是否确实正常工作？	cork-cli doctor

完整命令参考：guide.md。有关 AI Agent 操作约定（--agent、--dry-run，以及何时在变更前进行确认），请参阅 AGENTS.md。

有何不同

Cork 自带的工具是其 REST API 的无状态镜像：它只能立即回答关于单个客户的问题。MSP 实际提出的问题都涉及多个客户、多个时间点，或两者兼有；而且 Cork API 根本不提供跨客户聚合端点，因此，这些问题的实时处理路径都需要遍历每个客户，却没有存储的历史数据可供比较。

此技能会将 Cork 同步到本地 SQLite 镜像，并替你完成遍历和关联。因此，“风险评分下降了”可以变成“风险评分下降是因为合规情况发生了变化，以下是导致这一变化的逾期事件”——只需一条命令，无需手动逐个客户查询并汇总。

只有 score regressions 仅根据本地镜像回答问题。其他七个命令每次运行都会从 Cork API 获取数据，因为它们需要的记录没有可供镜像使用的 ID——包括漏洞发现、合规事件、连接器状态和评分历史。其中一些命令会使用镜像中的客户列表，从而跳过实时的 /clients 遍历；如果镜像为空，则会改为实时扫描客户列表。所有命令都会限制扫描范围，并在扫描被截断时打印提示，而不是错误地报告一切正常。

解决的痛点

• 两次 QBR 之间，评分下降了 11 分。Cork 会返回每个时间戳对应的四项组成部分，却不会计算差值，因此有人只能导出两个快照并手动相减。cork-cli score attribute 会计算差值并按原因排序。
• 没有端点能回答“本周哪些客户的情况恶化了”。cork-cli score regressions 会通过一条本地查询给出答案。
• 漏洞端点的服务器端 sort_by 只接受 sw_vendor 和 sw_product，因此无法在上游按可利用性排序。cork-cli vulnerabilities triage 会先按已知遭受利用的情况排序，再按 EPSS、CVSS 排序，并提供影响范围内的设备数量。
• cve_id 只存在于嵌套的 cves[] 中，而且没有任何端点能在任意页面大小下按 CVE 筛选。cork-cli vulnerabilities exposure 可以直接回答“我们是否受到这个 CVE 的影响”。
• 某个连接器报告 connection_status: ok，但 last_synced_at 显示它已经数天未同步。这两个字段在同一份载荷中返回，却没有任何机制会将时间戳与当前时间进行比较。cork-cli integrations health 能发现这种显示正常、实际上已失效的连接器。

更详细的说明请参阅 pain-point.md。

常见问题

这能与 ChatGPT 配合使用吗？

当前版本不行。ChatGPT（Plus、Pro、Team、Business、Enterprise 和 Education 计划；Free 目前尚未开放 Developer Mode）只能通过 HTTPS 连接远程 MCP 服务。Cork MCP 服务仅支持 stdio，这意味着需要在它前面部署一个 stdio-to-HTTP 桥接服务，而该桥接服务不会添加密码。请勿在重新发布连接器之前部署桥接服务或将其置于隧道之后；mcp-install.md 中的安全说明解释了原因。在此之前，请使用 Claude Desktop、Claude Code 或 Codex。

这能与 Codex、Cursor、Windsurf、Cline、Copilot 或 Gemini 配合使用吗？

可以——它们都支持 MCP。跨工具安装命令见上方的表格，深入介绍见 docs/which-agent.md。

我需要懂编程吗？

不需要。推荐的安装方式是在 Claude Code 或 Codex 中粘贴一句话——你的 Agent 会读取 SKILL.md 并完成安装。备用方式是使用适用于各操作系统的一行安装命令（bash 或 PowerShell）。这两种方式都不需要编写代码。你只需输入一次 Cork API 密钥。

我的 Cork 数据安全吗？

你的数据会保留在自己的设备上。CLI 和 MCP 服务都是本地二进制文件，且 MCP 服务仅支持 stdio——不会开放网络监听端口。SQLite 镜像存放在你用户帐户下的目录中。AI Agent 只能看到 CLI 返回的内容——通常是查询结果，而非原始批量数据。凭据从你的环境或 Agent 配置中读取；MSP Skills 绝不会将凭据打包进此代码库或传输到任何地方。

这会触发 Cork API 的速率限制吗？

部分会。sync 会填充本地 SQLite 镜像，search 和 score regressions 会从镜像中返回结果，不会访问 API。export 则不一样——它会对实时 API 分页请求，是这里负载最高的读取操作之一，因此除非你确实要获取全部数据，否则请传入 --limit。其他七个分析命令每次运行都会实时获取数据，其中两个还会展开请求——coverage gaps 会针对每个连接器，compliance overdue 会针对每个客户端，因此需要特别留意。每个命令都会限制自身的扫描范围（--max-clients、--max-connectors、--max-scan-pages），并在结果被截断时告知你。Cork 未公布速率限制，这正是设置这些上限的原因。

为什么我的 Cork 密钥在某些命令上会返回 403？

Cork API 密钥继承创建该密钥的用户权限。分销商或集成端点返回 403，通常意味着创建该密钥的操作员没有相应权限范围，而不是密钥有误。

这会取代 Cork 门户吗？

不会，它是对门户的补充。门户仍然用于配置集成和查看单个客户端。此工具能通过 AI 回答需要在门户中逐项点击才能查到的跨客户端问题——评分归因、回归排名、可利用性分流、过期连接器和覆盖缺口等。

费用是多少？

免费，采用 Apache-2.0 许可证。你只需为所使用的 AI Agent（Claude、ChatGPT、Codex 等）付费，费用由你的 AI 服务提供商收取，而非由我们收取。

安全模型

层级	示例	建议的 Agent 策略
读取	score attribute、score regressions、vulnerabilities triage、vulnerabilities exposure、compliance overdue、integrations health、coverage gaps、warranties exposure、sync、search、export，以及所有 list / get（下方会返回密钥的读取命令除外）	允许
写入（常规）	integrations connect、integrations update、integrations resync integration	使用 --dry-run 预览，然后执行经过审核的写入
凭据 / 安全	integrations credentials、integrations credentials get-integration（原样打印，不会脱敏）、integrations raw-data get-integration（返回预签名 URL，可在无需进一步身份验证的情况下下载连接器的全部原始数据），以及 integrations update 中的凭据字段	仅限人机协作，绝不可纳入一概允许所有读取操作的策略
破坏性 / 影响终端	integrations delete、software install（通过 RMM 集成在真实客户设备上安装软件包）	仅限人机协作，并需明确确认
管理员	distributor provision-partner	仅限操作员，Agent 不可使用
批量写入	import <resource> --input file.jsonl - 对上方的写入端点逐行发起一次 POST，遇到失败时继续处理	仅限人机协作，并需明确确认。绝不可无人值守执行

其中三项会影响 Cork 本身之外的对象：software install 会更改真实客户计算机的状态，distributor provision-partner 会创建合作伙伴账户，而 import 会逐行批量调用上述任一端点。请像对待手动推送 RMM 或商业变更一样处理，并遵循你对这些操作一贯要求的审批流程。

最有力的控制措施是授予 Cork API 密钥的权限范围 - CLI 只能执行创建该密钥的用户有权执行的操作。完整详情（包括如何限制权限）请参阅 governance.md。

状态

Beta。已在生产 Cork 租户上实时执行并验证完整的命令集，且仅进行只读操作：身份验证与连接、完整的 sync、全部八个跨客户端分析命令、针对缺失资源的类型化退出码，以及 MCP stdio 握手。修改命令仅在 --dry-run 下运行；未对该租户发起任何写入调用。目前正与 MSP 合作进一步验证，由他们在每周的 Build Sessions 中对自己的租户运行。请在 compoundingteams.com/build-sessions RSVP。

---

标准。 符合开放的 Agent Skills 规范（Anthropic，2025 年 12 月；40 多种 Agent）。兼容 MCP - 可与任何支持 MCP 的 Agent 搭配使用，包括 Hermes。已为 OpenClaw 做好准备（frontmatter 已预先配置，等待 OpenClaw 发布）。

由 Servosity 维护。采用 Apache-2.0 许可。使用 CLI Printing Press 构建。最后更新：2026-08-14。