Chainguard 于 2026-10-14 宣布四套面向 Agent 供应链的 MCP 服务器正式对企业客户 GA：cg-oci（镜像 manifest/SBOM/证明）、cg-apk（Wolfi 包等价查找）、cg-versions（上游版本与 EOL）、cg-api（组织策略与认证）。任意 MCP 客户端（Claude Code、Cursor 等）经 OAuth 接入；响应分页与上限在服务端执行，避免 Agent 幻觉标签或拉入过期包。可与此前同日发布的 Harness/Checks/Workspaces 互补，把依赖选择直接接到实时产品数据。
核心要点速览
- ✓四服务器：
https://cgr.dev/mcp、apk.cgr.dev/mcp、versions.cgr.dev/mcp、console-api.enforce.dev/mcp；Streamable HTTP + OAuth 2.0 - ✓能力：查镜像 SBOM/证明、Debian→Wolfi 包名映射、上游是否 EOL、组织策略与 advisories——数据来自实时产品而非模型记忆
- ✓治理：服务端分页（默认约 25–50，最大 200）与响应上限，降低上下文膨胀；
cg-api按 token 能力动态裁剪工具列表 - ✓无头环境：
chainctl auth login --audience=<mcp-url>+headersHelper注入 Bearer，避免 Claude Code OAuth 约 1 小时过期反复弹窗 - ✓附加：文档 MCP
mcp.edu.chainguard.dev免登录；Skills MCPskills.cgr.dev/mcp可按需加载 hardening skills
开发者 3 秒速决决策指标
Claude Code 高频使用：比较订阅额度与 API 账单
40 款主流编程套餐横向比价，支持输入/输出 Token 真实账单模拟
相关资源与官方项目出处
免代理直达深度技术解析与实战评估
核心背景与行业痛点
Agent 写代码速度已超过人工审查：模型常幻觉镜像 tag、推荐已 EOL 的包，或把未验证依赖写进 Dockerfile。Chainguard 于 2026-10-14 宣布四套 MCP 服务器对企业客户 GA，让 Claude Code、Cursor 等客户端直接查询实时 registry、Wolfi 包索引、上游 EOL 与组织策略，用服务端治理替代提示词护栏。
架构亮点与底层机制
产品数据四件套：cg-oci（manifest/SBOM/apko/provenance）、cg-apk（Wolfi 包名与 melange 构建）、cg-versions（上游发布与 EOL）、cg-api（组织 IAM、registry 元数据、advisories）。均走 Streamable HTTP + OAuth 2.0；工具调用按 token 作用域裁剪，cg-api 还会按能力隐藏工具。无头环境用 chainctl auth login --audience=https://…/mcp 缓存受众令牌，经 Claude Code headersHelper 注入 Bearer，避免约 1 小时 OAuth 反复弹窗。
权威 Benchmark 与实测跑分对比
官方未公布延迟对比榜，重点是正确性与治理：list/search 默认分页约 25–50、上限 200，响应上限抑制无界查询与上下文膨胀；返回的是当前 registry 事实而非训练记忆，可避免「看起来合理」的错误 tag。与同日发布的 Harness（Mythos 漏洞猎捕）、Checks、Workspaces 互补——MCP 管依赖事实，后者管猎捕与沙箱执行。
开发者实战落地与开箱指南
Claude Code：claude mcp add --transport http --scope user cg-oci https://cgr.dev/mcp（apk/versions/api 同理），在 /mcp 为每个服务器完成 OAuth。完整步骤与分页参数见 Chainguard Academy overview。另有免登录文档 MCP 与 Skills MCP。需企业账号与相应 entitlement。
即刻查看该技术对应模型与主流工具的实测差异，或一键测算团队 API 调用与 $20/月套餐盈亏平衡点。
讨论与评论
0登录后即可参与深度讨论
与广大 AI 开发者、工程师交流评测心得与前沿洞察