intelthreadlinqs-mcp

intelthreadlinqs-mcp

面向 Threadlinqs Intelligence 的 MCP 服务 — 提供 81 个工具和 25 个分析师手册提示词，覆盖威胁情报、检测、IOC、威胁行为者、MITRE 攻击链、C2 基础设施和 Purple 级综合情报。可直接用于 Claude Code、Claude Desktop、Cursor 及任何兼容 MCP 的客户端。

为你的 AI Agent 提供什么

• 1,700+ 个威胁，包含完整元数据、严重性、归因、CVE/CWE 和 MITRE 信息
• 16,000+ 条检测规则，采用 Splunk SPL、Microsoft KQL 和 Sigma YAML 格式
• 47,000+ 个 IOC（IP、域名、哈希、URL、行为）
• 500+ 个威胁行为者，包含 TTP 配置文件和跨行为者基础设施关联
• 140+ 个实时 C2 信标（Cobalt Strike），包含水印聚类和操作者归因
• 每日情报简报 + 7 引擎关联分析
• 基于 4,271 次已观测技术转换的 MITRE 攻击链预测

快速安装

# No install needed — npx will fetch it
npx -y intelthreadlinqs-mcp

Claude Code

claude mcp add threadlinqs-intel \
  -e THREADLINQS_API_KEY=tl_your_key_here \
  -- npx -y intelthreadlinqs-mcp

实际上，必须设置 -e THREADLINQS_API_KEY。Threadlinqs Intelligence MCP 服务是 Purple 级功能 — 它会在启动时检查密钥等级，并在密钥缺失、无效或低于 Purple 级时发出警告。服务仍会启动并公开其工具目录，供客户端和注册表检查；但工具调用会在服务端受限：没有 Purple 或 Gold 密钥（等级 ≥ 3）时，调用会返回 Access denied 错误，而不是数据。受限情报不提供免费或匿名访问。

Claude Desktop

~/Library/Application Support/Claude/claude_desktop_config.json：

{
  "mcpServers": {
    "threadlinqs-intel": {
      "command": "npx",
      "args": ["-y", "intelthreadlinqs-mcp"],
      "env": {
        "THREADLINQS_API_KEY": "tl_your_key_here"
      }
    }
  }
}

Cursor

.cursor/mcp.json：

{
  "mcpServers": {
    "threadlinqs-intel": {
      "command": "npx",
      "args": ["-y", "intelthreadlinqs-mcp"],
      "env": {
        "THREADLINQS_API_KEY": "tl_your_key_here"
      }
    }
  }
}

VS Code

.vscode/mcp.json：

{
  "servers": {
    "threadlinqs-intel": {
      "type": "stdio",
      "command": "npx",
      "args": ["-y", "intelthreadlinqs-mcp"],
      "env": {
        "THREADLINQS_API_KEY": "tl_your_key_here"
      }
    }
  }
}

获取 API 密钥

在 intel.threadlinqs.com 注册并验证邮箱，然后前往 Profile → API Key。请注意，仅注册会使你的等级为 Blue（等级 1）— MCP 工具调用需要等级 ≥ 3，因此在升级前会返回等级不足错误。定价页面的结账流程提供 7 天 Purple 免费试用。

访问权限 — 仅限 Purple 级

此 MCP 服务是 Purple 级功能：全部 81 个工具都需要 Purple 或 Gold 订阅（等级 ≥ 3）。服务会在启动时检查密钥等级，并在密钥缺失、无效或低于 Purple 级时发出警告 — 服务仍会启动并列出工具，供客户端检查目录，但每次调用都会在服务端强制执行等级限制，因此受限工具会返回 Access denied，而不是数据。受限情报不提供免费或匿名访问。

等级	价格	MCP 访问权限
Purple	$11.99/mo	✅ 全部 81 个工具
Gold	定制	✅ 全部 81 个工具（团队版 — 联系销售）
较低等级	—	❌ 无 MCP 访问权限（公共网站 + REST API 保留各自的免费 Blue 级）

定价页面的结账流程提供 7 天 Purple 免费试用 — 仅注册不会获得试用。工具调用会在服务端强制执行等级限制；订阅到期时会返回结构化的 403 错误。

v4.3 旗舰工具（Purple 级）

综合工具是大多数人升级到 Purple 级的原因 — 每个工具都能取代 5–7 次单一用途的 MCP 调用。

get_threat_hunting_bundle ⭐

输入： threat_id（例如 "TL-2026-0599"）

返回： 一次性提供完整的威胁狩猎档案 — 威胁元数据、完整 IOC 列表、SPL/KQL/Sigma 检测查询、相似威胁、模拟命令，以及跨威胁基础设施追踪。这是平台上最实用的单个工具。

get_actor_intelligence

输入： actor name（例如 "Lazarus Group"、"APT29"）

**返回：**全面的对手情报——actor 档案、归因的威胁、MITRE 技术、IOC（上限 200 个）、检测规则（上限 100 条）、活动时间线、与该 actor 关联的活跃 C2 基础设施，以及跨 actor 共享实体。

get_ioc_intelligence

输入： ioc_value（IP、域名、哈希、URL）

**返回：**所有涉及该 IOC 的威胁 + actor 归因 + DNS 丰富信息追踪 + 跨 IOC 基础设施关联分析 + 基于 7 个外部数据源（Pulsedive、GreyNoise、YARAify、MalwareBazaar、URLScan、VxVault、OpenPhish）的共识置信度评分。这是 “我在日志里发现了这个——告诉我所有相关信息” 的工作流。

get_cve_intelligence

输入： cve_id（例如 "CVE-2024-3400"）

返回： CVE 详情 + 关联威胁 + EPSS 漏洞利用速度 + KEV 状态 + 检测覆盖率 % + 可用的攻击模拟 + 首次武器化时间线。

get_mitre_gap_analysis

**输入：**可选的 tactic 筛选条件、limit

**返回：**按债务评分（威胁暴露程度 + KEV 数量 + EPSS）排序的 MITRE 技术优先列表，这些技术尚无检测覆盖。每项都包含示例威胁和建议的检测类型。回答 “接下来应该为哪些技术编写检测？”

predict_mitre_transitions

输入： technique_id（例如 "T1566"）、top_n、direction（forward | reverse）

**返回：**按排名排列的下一步技术预测，包含概率和观察次数，以及展示技术链的示例威胁。基于语料库中观察到的 4,271 次转移构建。

generate_c2_blocklist

**输入：**无。

**返回：**可直接用于防火墙的活跃 C2 IP 封锁列表，包含国家/地区、ASN、版本、watermark 和最后出现时间等元数据。目前正在跟踪 Cobalt Strike 信标。要进行运营者聚类，请调用 get_c2；要获取未屏蔽的 C2 域名，请调用 get_c2_dns_intel。

专用工具

• search_actors — 按名称、别名、民族国家或动机查找威胁 actor。
• get_actor — 通过一次调用获取完整的 actor 档案。
• get_similar_threats — 根据共享 TTP、IOC 重叠和相同 actor 归因，查找预先计算的相似匹配项。

Agent 技能

这是一项可移植的技能，可指导任何 MCP 客户端如何在这些工具间进行路由——优先调用哪个工具、hunt 查询语法、响应预算，以及确保回答准确可靠的数据注意事项。技能根据实时目录生成，因此其中的工具参考不会过时。

• 单文件（可粘贴到任意助手中）：https://intel.threadlinqs.com/mcp/skill.md
• 套件（包含 SKILL.md 和 references/，用于 Claude Desktop / API 技能上传）： https://intel.threadlinqs.com/skills/intelthreadlinqs-mcp-skill.zip
• 此仓库中也有该技能，位于 skill/，并可从 https://intel.threadlinqs.com/mcp 访问。

提示词 — 25 个分析员作战手册

提示词是预先构建的工作流，可为你编排工具。无需费心决定如何串联 81 个工具，只需调用一个作战手册，Agent 就会获得按顺序排列且参数正确的计划。这些作战手册涵盖了服务器上的所有工具，因此，即使 Agent 只读取 prompts/list，也能发现完整的工具范围。

作战手册	功能
orient	从这里开始 — 目录、语料库结构、类别、TLQL 语法
triage_cve	CVE 端到端分析：严重程度、利用情况、暴露面、修复
profile_actor	行动者档案：TTP、目标、归因置信度
hunt_ioc	指标 → 关联威胁、影响范围、阻断措施
hunt_corpus	使用 TLQL 在威胁狩猎索引中查询聚合问题
research_question	通过语义语料库搜索开展开放式研究
map_detections_to_mitre	将威胁的 SPL/KQL/Sigma 映射到 ATT&CK，并标记缺口
review_detection_gaps	按暴露面排序，找出价值最高的检测欠账
write_detection	根据语料库逻辑起草可部署的规则
predict_next_move	预测接下来（或之前）的 ATT&CK 技术
explain_link	说明两种威胁为何相关，并提供证据
map_campaign	活动成员、共享基础设施、关键实体
review_attribution	审查归因是否有证据支持
pivot_infrastructure	在 DNS、托管服务及相关基础设施间进行关联分析
malware_dossier	描述恶意软件家族或攻击工具
build_c2_blocklist	生成可用于防火墙的 C2 阻止列表，并对操作者进行聚类
osint_sweep	纳入社区信号；呈现覆盖时效
sweep_vulnerabilities	根据可利用性进行分类，而非仅依据 CVSS
plan_purple_team	将模拟演练与应触发的检测配对
export_for_tooling	导出 STIX 2.1、ATT&CK Navigator、适用于 SIEM 的规则
bulk_enrich	批量处理威胁/CVE ID 列表，无需 N 次往返
assess_exposure	评估 CVE、行动者或技术的覆盖与未覆盖情况
daily_brief	今日态势、最新重要威胁、每日主题
period_review	回顾简报归档中的某一天或一段时间
platform_status	语料库健康状况、引擎状态、丰富数据完整性

完整工具目录

如需查看 81 个工具的完整列表、参数和调用示例，请参阅交互式 MCP 文档页面。

架构

• 传输方式： stdio（本地子进程）

• 身份验证： THREADLINQS_API_KEY 环境变量（用于向 worker API 传递 Bearer token）

• 运行环境： Node ≥18

• SDK： @modelcontextprotocol/sdk@^1.26.0

• 后端： Cloudflare Workers + D1（多区域）

• Purple 门控： 服务器会在启动时检查 API 密钥的层级；若密钥缺失、无效或低于 Purple/Gold（层级 ≥ 3），则发出警告。服务器仍会启动，以便工具目录可供检查；门控本身会在每次工具调用时于服务器端执行（密钥过期或层级不足时返回结构化 403）

• 内省分为三个层级（自 8.1.0 起）：已通过身份验证的 tools/list → 公共 /mcp/catalog.json → 打包在软件包中的目录快照。前两种方式需要网络；第三种不需要，因此即使在完全隔离网络的沙盒中，tools/list 也会返回真实目录。此前这种情况下会返回空数组——不是错误，而是空列表；它与没有工具的服务器无法区分，这也是注册表扫描器将此服务器索引为零个工具的原因。

  维护者：部署 worker 之后，请使用 npm run sync:catalog 重新生成快照，因为工具和提示词注册表由 worker 管理。如果快照与实时目录不一致，npm run test:catalog 会使构建失败；该命令也会在 prepublishOnly 时运行。

链接

• 📖 交互式文档 + 试用
• 🔑 获取 API 密钥
• 💳 定价
• 🐛 问题反馈
• 📜 更新日志

许可证

MIT © Threadlinqs