Интроспекция MCP и управление реестром

Источник mcp управляет поверхностью возможностей, которую видят ваши агенты: он интроспектирует MCP-серверы (инструменты, ресурсы, промпты), выводит подсказки чтения/записи из их аннотаций и — opt-in — сверяет то, что работает, с публичным реестром MCP, вашими федеративными реестрами и Docker MCP Catalog, попутно оценивая состояние.

Одно правило служит якорем для всего, что эмитирует этот источник:

Объявление источника

{
  "sources": [{
    "name": "mcp-estate",
    "kind": "mcp",
    "tenant": "<tenant-id>",
    "config": {
      "config_path": "/etc/claude-code/.mcp.json",
      "posture_scan": "true",
      "registry_enabled": "true"
    }
  }]
}

Укажите ему на серверы любым способом:

Ключ	Значение
`servers`	встроенный JSON-массив спецификаций MCP-серверов для интроспекции
`config_path`	путь к Claude Code `.mcp.json`, чьи `mcpServers` интроспектируются
`timeout`	таймаут интроспекции на сервер

Слои управления (каждый opt-in, каждый честный)

Сканирование состояния (posture_scan, по умолчанию true) — сканирует метаданные интроспектированного каталога на отравление инструментов, инъекции, гомоглифы и чрезмерно широкие области, оценивая состояние по OWASP MCP Top-10. Только метаданные каталога — оно не зондирует и не эксплуатирует серверы.
Публичный реестр (registry_enabled, по умолчанию false; registry_url) — обогащение происхождения только для чтения из реестра MCP (предварительная версия на стороне источника; коннектор самостоятельно верифицирует то, что читает).
Синхронизация реестра (registry_sync + owned_namespaces) — перечислите пространства имён reverse-DNS, которыми ваша организация владеет в публичном реестре, чтобы обнаружить отозванные или неуправляемые публикации (аспект цепочки поставок) и снять ваши внутренние серверы с теневой пометки.
Внутренняя сверка (internal_servers) — JSON-массив одобренных внутренних серверов ({name, registry_name, version}); работающие серверы сверяются с ним, с обнаружением дрейфа версий. То, что работает, но не в списке, — это finding о shadow.
Федеративные реестры (federated_registries) — реестры GitHub BYO для организаций, Azure API Center и приватные подреестры, реализующие закреплённый OpenAPI реестра /v0.1.
Лента устаревания (deprecation_feed) — получать официальный реестр устаревших возможностей MCP на каждом проходе для обнаружения дрейфа правил; скомпилированные правила устаревания никогда не зависят от этой загрузки.
Docker MCP Catalog (docker_catalog) — дрейф закрепления дайджеста образа плюс происхождение Docker-built (подписанное) против community (без аттестации) для каждого сервера.
Предпросмотр следующей ревизии (next_revision_preview) — интроспектировать серверы в режиме без состояния MCP RC 2026-07-28, всё ещё анонсируя 2025-11-25; явно тумблер предпросмотра.

Findings оседают по слоям: оценки состояния, пробелы происхождения, теневые серверы, использование устаревших возможностей, дрейф реестра.

Что вы увидите в консоли

MCP & skills — это живой каталог возможностей — серверы, их инструменты и заявленные подсказки, навыки и то, как каждый подключён к агентам:

Представление MCP & skills: живой каталог возможностей с серверами, инструментами, подключениями и управляемыми конфигурациями.

Подсказки вносят заявленную поверхность в Карту доступа; панель дрейфа — это место, где заявленный как только-чтение инструмент, замеченный за записью, перестаёт быть проблемой подсказки и становится finding.

Честные ограничения

Интроспекция — это снимок того, что заявляют серверы. Сервер может лгать; это собственная позиция спецификации и причина, по которой каждое ребро помечено именно так. Подтверждение приходит от наблюдаемых источников.
Частичный снимок реестра — это ошибка, а не результат — коннектор отказывается оценивать по чтению реестра, которое он не смог завершить.
Сканирование состояния читает метаданные. Оно не выполняет инструменты, не фаззит серверы и не обнаруживает реализацию с бэкдором за чистым каталогом.

Связанное

Подключение Claude Code — где подсказки MCP встречаются с телеметрией сессии.
Модуль V — MCP, навыки и возможности.
Сборка и поставка коннектора — история deny-closed подписанного допуска для самих бинарников коннекторов.