Indexar não é aprovar. Veja como a triagem funciona.
Cada componente do índice passa por descoberta, análise estática e acompanhamento por hash. Nada de terceiros é executado, e a triagem não certifica nada: ela mostra o que foi encontrado para você decidir.
Três etapas
- Spider: a cada 6 horas busca SKILL.md no GitHub e servidores no registro oficial de MCP, com limites por consulta e por repositório, sem redistribuir o conteúdo.
- Análise estática: lê o snapshot do que o componente declara e procura sinais de shell, rede externa, segredos, escrita, operação destrutiva, execução automática e aprovação humana.
- Sentinela: guarda o hash de cada versão, registra mudanças e coloca em quarentena a fonte que deixa de responder.
O que a triagem não faz
Não é auditoria, pode errar, não certifica e não governa o uso. Risco baixo não quer dizer seguro.