Threadplane：Angular 代理 UI 框架获供应链信任 A 级评分

每个代理框架都要求你信任它。但我更希望你衡量它。

HVTracker 是一个针对 AI 代理软件的独立信任追踪器。它刚刚给 Threadplane 打出了 82.8/100 的分数——A 级。

在代理框架类别中，这是 75 个框架中的第 7 名。而且它是列表中唯一——实际上是唯一——的 Angular 代理框架。

我没有填写问卷或付费购买徽章。HVTracker 仅从公开信号评分：GitHub API、npm 和 PyPI 注册表以及 OpenSSF Scorecard CLI，每天刷新。这个评分是他们的分析对我们的评价，而不是我们对自己的评价。

对我来说，这正是重点所在。你对自己的信任声明价值不大。

还有谁在列表中？

这是我总是回来看的部分。让我们看看我们与谁为伍。

排名框架信任度星数 1 Haystack 95.5 25.7k 2 Vercel AI SDK 95.1 25.1k 3 LangGraph 93.0 35.6k 6 OpenAI Agents SDK 85.8 27.4k 7 Threadplane 82.8 99 8 CrewAI 80.6 54.3k 11 LangChain 76.6 140.1k

看看星数列。

Threadplane 在信任度上排名高于 CrewAI、AutoGen 和 LangChain——尽管其在 GitHub 上只有 99 颗星，而它们有数万颗星。

这不是故障。HVTrust 的权重偏向于供应链完整性和出处，而非流行度。一个包可能每周被下载数百万次，但安全信号仍然薄弱。一个较小的包可能拥有所有信号。评分奖励的是第二种，而这正是此类追踪器存在的全部原因。

我也会诚实地说明我们的弱点。我们最低的信号是采用度。拥有 99 颗星，这是我们的资料中最需要增长的部分，也是上述大项目真正领先的地方。我不会粉饰这一点。

A 级到底意味着什么？

HVTracker 对自己的声明非常谨慎，我也想如此。就在列表上，他们印着这句话：

并非安全认可。HVTracker 描述的是公开信号显示的内容，而非项目对你的用例是否安全。在生产环境使用前，请自行进行安全审查。

这个警告正是评分具有价值的原因。

它不是一张写着“信任我们”的贴纸。它是一个跨越五个维度的度量：

安全/完整性——OSSF Scorecard、出处、签名。

身份/出处——发布包与构建它的源代码之间的可验证链接。这是我们最强的信号。

透明度——声明了 OSI 批准的许可证和公开检查。

维护——提交的时效性和节奏。

采用——星数和下载量。

A 级只是表示分数在顶部区间（A 是 80 及以上）。它并不意味着有人为你的威胁模型进行了审计。它意味着公开证据是强有力的，你可以亲自验证每一部分。

为什么这对代理框架更重要

大多数你安装的软件在一个地方做一件事。代理框架则不同。

它运行模型。它执行工具调用。它访问凭据并代表你的用户行动，通常对真实系统拥有真实权限。

因此，代理框架下被攻破的依赖项的爆炸半径比你栈中几乎任何东西都大。这就是为什么“这个东西的供应链是否有序”是一个真正的问题，而不仅仅是一个复选框。

这也是工具旨在弥合的差距。OpenSSF Scorecard——HVTrust 很大一部分背后的引擎——检查攻击者实际攻击的链条部分：源代码、构建、依赖项、签名和维护。正如 OpenSSF 所说，许多开源项目由资源有限的小团队运营，这正是供应链攻击寻找的软目标。而 Sonatype 的一项分析发现，项目的 Scorecard 分数是预测其是否携带已知漏洞的最佳指标之一。

根据我的经验，那就是在你安装任何代理将运行的东西之前值得问的问题：你将多少应用程序交给了你未编写的代码，并且你能证明它的来源吗？

评分背后的工作

评分是输出。这里是输入——赢得评分所需的无聊、不光彩的卫生习惯。

OSSF Scorecard 7.7/10——分支保护、签名发布、依赖审查、代码审查、持续运行。

MIT 许可证——一个声明了、OSI 批准的、宽松的许可证。关于你能用它做什么没有歧义。

82% 的近期提交已加密签名——这样你可以确认代码来自提交声称的人。

可验证的出处——从 npm 包追溯到产生它的构建的可追溯线路。

积极维护——评分时仓库在过去一天内有推送。

这些都不奇特。完成所有这些并保持它们，才能将项目从“可能没问题”提升到“你可以检查”。

默认开放

Threadplane 是 MIT 许可的开源项目。该框架——LangGraph 和 AG-UI 适配器、生成式 UI 运行时、协议类型——是免费的，并且保持免费。

一个库 @threadplane/chat 带有商业许可。这是资助保持其他所有内容开放和维护的单一组件。

对我来说，这是可持续开源的诚实版本。上面的信任信号不是封闭产品上的营销油漆。它们是我对整个代码库的要求，而几乎整个代码库都是 MIT 许可的，就放在那里供你阅读。

不要相信我的话

完整的细分——每个维度、Scorecard 检查以及原始 JSON——都在 Threadplane 的 HVTracker 列表上公开。相信他们的话，然后去验证。

结论

信任评分是起点，而非终点。评估框架的真正方法是用它构建一些东西。

所以如果你好奇：阅读列表和代理框架排行榜，浏览 GitHub 上的源代码（全部——几乎全部开放），并通过快速入门发布你的第一个流式代理 UI。

我们会保持信号新鲜，保持框架开放，并继续努力改善我还不引以为傲的那个数字。其余的，你可以验证。💚