agentic-community MCP Gateway & Registry：AI asset control plane

agentic-community MCP Gateway & Registry：AI asset control plane

一句话结论

agentic-community 的 MCP Gateway & Registry 是一个把 MCP servers、A2A agents、skills 和 custom entities 放到同一治理面的开源项目：nginx gateway 做数据面，FastAPI registry 做控制面，auth server 接 OIDC/OAuth2，MongoDB/DocumentDB 保存配置、搜索、session 与审计。它的价值不是“又一个 MCP 网关”，而是把 AI asset catalog、语义发现、细粒度授权、A2A 反向代理、per-user egress credential、registration gate、安全扫描、rate limit/quarantine、audit 与 OTel/Prometheus observability 组合成可运营的 agent platform 控制面。^[raw/articles/agentic-community-mcp-gateway-registry-ai-asset-control-plane-2026-09-08.md]

本轮没有本地部署运行该项目，因此不把其实现质量标为 high；但读取到的 README、A2A、federation、egress auth、audit、observability、registration gate、rate limiting 等原始文档足够支撑机制级入库。GitHub 页面在 2026-09-08 显示约 895 stars、226 forks；这些热度数字只作为发现信号，不作为深度判断核心。^[raw/articles/agentic-community-mcp-gateway-registry-ai-asset-control-plane-2026-09-08.md]

命中的知识点轴

• MCP Gateway / federation control plane：统一登记 MCP server、agent、skill、custom entity；支持外部 registry federation；gateway/registry 分离。
• A2A / Agent Card / Agent Discovery：A2A agent 注册、discover、semantic search，并提供 registry-only 与 reverse-proxy 两种通信模式。
• harness-runtime：把 discovery、scopes、gateway routing、rate limiting、quarantine、audit、OTel metric 变成 runtime substrate。
• context management：工具、Agent Card、skill、custom entity 是 agent 可消费上下文；发现时按权限过滤，不把全量目录暴露给所有 agent。
• sandbox-security：per-user egress token vault、fail-closed SSRF/egress guard、registration gate、安全扫描、durable audit 与 kill switch 降低工具/agent 供应链风险。
• benchmark-evaluation：项目不是 benchmark，但它提供了可评测控制点：discover/list/invoke 是否按 scope 生效、A2A card rewrite 是否正确、audit 是否 durable、rate-limit/quarantine metric 是否可观测。

为什么对用户重要

用户的 Hermes / llm-wiki 已经在持续积累 tools、skills、MCP/A2A 概念、cron 和外部 agent 工作流。真正风险不是“有没有更多工具”，而是这些能力如何被发现、授权、挂载、调用、审计和下线。这个项目提供了一个可迁移的控制面蓝图：把能力当成 AI asset，而不是把 MCP server、A2A agent、skill、prompt template 分散在不同配置文件里。

对 Hermes 来说，最值得借鉴的是四个 receipt：1）asset registration receipt：谁注册、schema/card hash、扫描结果、生命周期状态；2）discovery receipt：某个 agent 在某个 scope 下看到了哪些资产；3）credential receipt：ingress token 与 egress token/target agent credential 不混用；4）runtime receipt：invoke/rate-limit/quarantine/audit/trace 可以回放。缺少这些 receipt 的 agentic workflow 很容易在“工具可用”与“工具可信”之间失焦。

机制 / 一阶原理

1. AI asset catalog 是 context，也是 control plane

README 和 AWS Open Source Blog 都把 MCP servers、A2A agents、skills、custom entities 放在一个 catalog 里；custom entities 可以覆盖 workflows、policies、prompt templates、models、n8n workflows 等组织资产。这个 catalog 不是只给人看的资产目录，而是 agent discovery 的输入。因而 catalog 中每条记录都需要 schema、owner、risk tier、auth、scope、scan/audit 状态，否则它会变成 prompt injection 与能力漂移的供应链入口。

2. A2A 有两种数据面：registry-only 与 reverse-proxy

A2A 文档明确区分两种模式：registry-only 下，registry 负责注册、发现、访问控制，agent 间随后直连；reverse-proxy 模式下，gateway 进入数据路径，/agent/{path} 同时代理 Agent Card fetch 与 JSON-RPC call，真实 backend 保存在 proxy_pass_url 且对非管理员读 redacted。调用方需要 invoke_agent grant，gateway token 放在 X-Authorization 并在 egress 前剥离，目标 agent 的 credential 放在 Authorization 原样转发。这补上了 A2A-Agent2Agent-Protocol 当前最需要的企业实践证据：Agent Card discovery 不等于安全委托，是否让 gateway 进入数据面是一个 explicit operating-mode decision。

3. Credential boundary 要区分 ingress、egress、target-agent credential

egress auth 文档把第三方 SaaS MCP 的 OAuth token 存在 vault 中，按 user/provider/server/path 等 key 绑定，并在每次工具调用时由 gateway/auth-server 向上游注入，coding assistant 只持有 ingress token。A2A reverse-proxy 又进一步区分 gateway credential 与目标 agent credential。这个机制与 MCP-Gateway-Runtime 的核心一致：凭据应由 runtime/gateway 按目的地与主体注入，不应裸露给 agent 上下文。

4. Admission、audit、metrics、quarantine 构成运维闭环

registration gate 在资产持久化前做同步 admission control；scan_complete webhook 报告异步安全扫描；audit logging 默认要求 durable sink，缺失时拒绝启动；rate limiting 支持 caller/target/caller-target 轴，并可把 user、agent、MCP server 或 A2A agent 放入 quarantine kill switch；observability 用 OTel/Prometheus 暴露 registry/auth/tool execution、target_kind、rate-limit/quarantine、peer sync 等指标。组合起来看，gateway 的价值不是“代理请求”，而是让 agent 能力变成可审计、可限流、可撤销、可告警的运行时对象。

和已有 wiki 概念的关系

• 对 Context-Engineering 来说，asset catalog 的 selective disclosure 是高价值上下文治理：agent 看到什么能力，本身就是一项可审计决策。
• 对 Agent-Benchmarks 来说，后续评测 agent platform 时应记录 gateway/registry 版本、scope、card/tool hash、audit sink、rate-limit/quarantine 和 trace backend，而不是只报最终任务成功率。

对 Hermes / llm-wiki 的可执行启发

1. 把 Hermes tools/skills/agents 统一成轻量 AI asset registry。 最小字段：asset_type、path/id、owner、source_url、schema_or_card_hash、risk_tier、allowed_jobs、credential_profile、last_verified_at、audit_path。
2. 高风险能力默认走 gateway/permission profile。 数据库、SSH、文件发布、飞书/企微、浏览器、支付/招聘等工具不应被所有 cron 继承；应按 job identity 暴露最小可用资产。
3. A2A 委托前先记录 operating mode。 远端 agent 是直连还是 gateway-proxied？Agent Card 是否重写？target credential 是否由用户另行授权？这些必须进入 task receipt。
4. registration gate 比事后 lint 更靠前。 外部 skill、MCP server、Agent Card 入库前应做同步 admission：来源、hash、权限、scan verdict、是否允许无人调用。
5. 把 quarantine 当成日常运维 primitive。 当某个工具/agent 发生错误或风险升高时，应该能按 asset_id 立即从无人 loop 的能力面下线，而不是只修改 prompt。

失败模式 / 边界条件

• Registry federation 会合并多个组织/供应商的 blast radius；如果 federation source、Agent Card 或 custom entity schema 被污染，gateway 会把污染扩大成统一上下文。
• A2A reverse-proxy 保护的是可见 URL、invoke gate 和 gateway token 剥离；它并不自动验证目标 agent 的自然语言结果是否真实，仍需 artifact/verifier receipt。
• Per-user egress credential 需要严格绑定目的地、provider 和 server path；否则 registry 记录被 repoint 后可能把用户 token 发给攻击者控制的 endpoint。
• Durable audit fail-closed 很好，但运行时 audit write failure 仍可能出现 dropped records；需要告警、retry/dead-letter 和外部 append-only store 才能接近合规级证据。
• 文档覆盖面很广，本轮未运行 Helm/ECS/Compose，也未审代码实现，因此 confidence: medium。

候选评分

深度判断

晋升为正式 source page，因为它满足“最高优先级 MCP Gateway / federation control plane”和“A2A 实践案例”的深度门槛：不是单纯新闻或单工具介绍，而是给出 control plane、data plane、Agent Card discovery/proxy、credential boundary、security gate、audit/OTel/quarantine 的可迁移工程机制。它同时提醒 llm-wiki：后续 gateway 类候选不能只问“是否支持 MCP/A2A”，要问是否能形成 asset-control-plane receipt。

写入记录

• 2026-09-08 09:01 CST：基于 GitHub raw 文档、项目站与 AWS Open Source Blog 新建 source 页，提炼 AI asset registry、A2A reverse-proxy、per-user egress credential、registration gate、durable audit、OTel metric、rate-limit/quarantine 对 Hermes 工具/agent 控制面的启发。