Installer une compétence d’agent signifiait autrefois lire un fichier README et hausser les épaules. Une compétence est un texte qui oriente votre agent, un greffon peut transporter des scripts d’installation, et un serveur MCP exécute du code sur votre machine avec vos fichiers et vos clés à portée de main. Le catalogue a grandi plus vite que la capacité de quiconque à lire le code source avant de cliquer sur installer. PlugVet est un répertoire construit pour combler cet écart. Il note le code lui-même, publie la lettre à côté des constats qui l’ont produite et estampille chaque note de la date à laquelle elle a été vérifiée.
Le compte bouge pendant que vous lisez. La couverture du 24 octobre plaçait le répertoire à 11 739 entrées notées. Le billet de données de PlugVet a consigné 13 739 entrées dans un instantané pris le 25 octobre et 14 739 un jour plus tard, et la page d’accueil compte maintenant 15 739 entrées, avec le dernier lot de 1 000 noté le 27 octobre. Le répertoire couvre les compétences Claude Code, les greffons Cursor, les greffons Codex et les serveurs MCP au même endroit.
PlugVet
Site officielHuit vérifications, chaque entrée, chaque fois
PlugVet affirme que chaque entrée passe les mêmes huit vérifications, exécutées sur le code source à un seul commit. Les vérifications examinent du texte statique. L’outil n’est jamais exécuté, et rien de ce qu’il télécharge plus tard n’est vu.
- Permissions. Les appels d’interpréteur et de suppression dans le code, et si le manifeste ou la description les nomme.
- Installation et mise à jour. Les scripts d’installation, les tuyaux d’un téléchargement vers un interpréteur, les téléchargements supplémentaires et les binaires que la description ne mentionne pas.
- Réseau. Les hôtes que le code peut joindre, et si la description les nomme.
- Secrets. Les jetons, les clés, les variables d’environnement et le matériel ssh, plus des chemins comme .env et les magasins d’identifiants.
- Instructions à l’agent. Les objectifs cachés, les ordres d’ignorer les instructions précédentes et les ordres de cacher une étape à l’utilisateur.
- Obscurcissement. Les blocs encodés dans du code qui devrait être lisible.
- Licence. Si un fichier de licence est présent. La vérification ne lit pas les conditions.
- Activité du mainteneur. La date du commit le plus récent à la pointe du dépôt.
Les constats portent des niveaux : Note, Faible, Moyen et Élevé. La lettre suit une règle fixe, et PlugVet publie la règle avec les notes.
| Note | Ce qu’elle signifie | Ce que PlugVet conseille |
|---|---|---|
| A | Aucun problème trouvé, ou seulement des notes d’entretien | Rien de signalé par les vérifications |
| B | Notes mineures seulement, aucun Moyen ni Élevé | Un coup d’œil rapide aux constats avant d’installer |
| C | Un constat Moyen | Lire le rapport avant d’installer |
| D | Deux constats Moyens ou plus, ou un Élevé | L’essayer seulement dans un bac à sable |
| F | Un motif d’échec trouvé | Retenu pour examen humain; aucun publié pour l’instant |
Le mélange actuel sur la page d’accueil est de 2 713 notes A, 8 463 B, 3 335 C et 1 228 D. Aucune note F n’est listée. PlugVet dit que les notes F sont retenues et examinées par l’un de ses ingénieurs avant publication, et le même examen humain s’applique aux rapports payés. Les notes du répertoire gratuit, y compris les C et les D, sont automatisées et ne sont pas examinées à la main.
Constats les plus fréquents, part des outils notés
Instantané de 13 739 entrées notées du 16 au 25 octobre 2026 sous la grille v2, tiré du billet de données de PlugVet. Chaque constat compté une fois par outil.
Le graphique est le cœur honnête de ce répertoire. Dans cet instantané, 83,0 pour cent des outils avaient au moins un constat, et les constats les plus fréquents sont de petits constats sur la façon dont le code est écrit. Une mention d’un fichier .env est Faible, et PlugVet dit lui-même qu’une mention n’est pas un secret divulgué. Elle vous dit que l’outil s’attend à lire des réglages locaux, alors vérifiez ce qu’il lit.
Ce qu’une note ne peut pas vous dire
Les limites sont imprimées avec un niveau de détail inhabituel, et elles comptent autant que la lettre. La vérification de licence confirme seulement qu’un fichier de licence existe, donc une licence aux conditions hostiles passe quand même cette vérification. La vérification du mainteneur lit une seule date de commit et ne peut pas distinguer un projet terminé et silencieux d’un projet abandonné. La vérification réseau ne voit que les appels clients de sa liste, et un hôte choisi pendant que le programme roule lui est invisible.
Rien de tout cela ne rend le répertoire faible. Cela en fait un écran, et les écrans sont la façon de trier 15 739 options en une courte liste qui vaut la peine d’être lue correctement. Le mode d’échec à éviter est de traiter un A comme une promesse. PlugVet ne fait jamais cette promesse, et sa propre formulation pour A est prudente : aucun problème trouvé, par ces vérifications, à cette date.
L’argent est traité avec le même soin, du moins sur papier. PlugVet affirme que le paiement ne change pas une note, et que les emplacements de commandite sont vendus seulement à des firmes qu’il ne note pas, donc le fabricant d’un outil listé ne peut pas en acheter un. Les prix de commandite publiés vont de 39 £ par mois pour une inscription en vedette à 499 £ par mois pour un emplacement sur la page d’accueil, et la page des commanditaires dit que les demandes ne sont pas encore ouvertes. Un bulletin hebdomadaire présente des outils en vedette et leurs notes, et les commanditaires peuvent acheter un emplacement dans un numéro sans voir la liste des abonnés.
Lequel choisir
Choisissez PlugVet comme premier arrêt si vous installez des compétences, des greffons ou des serveurs MCP avec une certaine régularité. Cherchez la note avant d’installer, et lisez les constats plutôt que la lettre seule. Un B avec une mention de .env peut convenir à votre configuration. Un C mérite que le rapport soit lu en entier, et un D appartient à un bac à sable, exactement comme le site le conseille.
Choisissez-le comme miroir si vous publiez des outils d’agents. Les constats les moins chers sont aussi les plus faciles à corriger. Le billet de données de PlugVet dit franchement aux mainteneurs qu’écrire les hôtes comme des adresses fixes là où ils le peuvent, et indiquer dans la description ce qu’un outil lit et appelle, peut retirer des constats. Un fichier de licence et un historique de commits à jour ne coûtent rien et changent de vraies lettres.
Ne le choisissez pas comme seule barrière si les enjeux sont réels. Une équipe qui laisse des agents toucher des données de production a encore besoin de son propre examen, de versions épinglées et d’une habitude de bac à sable. PlugVet vous dit à quoi ressemblait le code source à une date donnée. Il n’exécute pas l’outil, n’observe pas son comportement et ne se porte pas garant de ce qu’un commit ultérieur fera.
Réflexions finales
L’essor des outils d’agents a un problème de confiance que les comptes d’étoiles ne peuvent pas résoudre. La réponse de PlugVet est modeste et, pour cette raison, crédible : une grille, huit vérifications, les preuves publiées, la date imprimée, et le mot garantie jamais utilisé. Les compromis sont la méthode statique et les plafonds de fichiers, et le site divulgue les deux au lieu de les cacher. Vérifiez-le avant de le brancher est un bon slogan. La meilleure nouvelle est que le répertoire montre assez bien son travail pour que vous puissiez vérifier la vérification.
Sources
- Le répertoire, les comptes de notes et les règles de commandite : plugvet.com
- La grille, les huit vérifications et leurs limites déclarées : How we grade
- Les taux de constats et l’instantané du mélange de notes : What PlugVet’s automated checks find most often
- L’analyseur à venir et ce qu’une analyse de base vérifiera : Basic scanner
- Les prix de commandite et la règle selon laquelle le paiement ne change jamais une note : Sponsors
- Graphique du site : PlugVet, tiré de plugvet.com
FIN DE LA TRANSMISSION
Restez curieux. Remettez tout en question.
