42 Repos, alle offen: der komplette StudioMeyer Open-Source-Stack

42 public Repos, 18 Forks, null offene Issues, alle MIT-lizenziert. Zusammen gut 5.000 npm-Installs im letzten Monat. Und trotzdem haben die meisten dieser Repos unter zehn Stars. Das liegt nicht daran dass wir neu sind. Wir bauen die Tools seit zwei Jahren für uns selbst. Wir haben nur erst spät entschieden zu teilen was wir gebaut haben. Vor allem bei Security-Tools ist das eine bewusste Haltung: wir veröffentlichen den Code statt ihn zu verstecken. Wer prüfen will wie unser MCP-Sidecar Prompt-Injection erkennt, klickt ins Repo und liest die Regex-Regeln. Kein "trust me". Weil unser eigenes Org-Profil monatelang behauptet hat wir hätten 29 Repos (real waren es längst 42), lege ich hier einmal den ganzen Stack sauber auf den Tisch. Gruppiert, mit einem Satz pro Repo. Alle liegen unter [github.com/studiomeyer-io](https://github.com/studiomeyer-io). ## Die MCP-Security-Suite (Rust) Fünf Rust-Tools, die zusammen den Lebenszyklus eines MCP-Servers absichern. `mcp-armor` ist ein Drop-in-Sidecar, das jeden Tool-Call auf Prompt-Injection scannt und Ed25519-signierte Manifeste verifiziert, unter 5ms p99. `mcp-gauntlet` ist der Test-Gegenpart: ein schema-aware Fuzzer plus Lasttester (`mcp-fuzz` und `mcp-storm`). `mcp-covenant` ist "semver für dein MCP-Interface", es snapshottet Tools in ein Lockfile und failt im CI bei Breaking-Changes. `mcp-herald` ist ein statischer Migrations-Linter für die MCP-Spec 2026-07-28. Und `mcp-passport` prüft deine server.json auf Registry-Reife bevor du publizierst. ## Die Foundation-Pillars Neun Bausteine für sichere, spec-konforme MCP-Server. `mcp-protocol-conformance` testet einen Server gegen die JSON-RPC- und OAuth-Spec. `mcp-server-attestation` bringt signierte Tool-Manifeste plus Spawn-Attestation gegen Supply-Chain-Angriffe. `mcp-stdio-shellguard` schließt die stdio-RCE-Klasse mit Drop-in-Wrappern um exec und spawn. `mcp-hook-conformance` auditiert einen Server auf Claude-Code-Hook-Readiness. `mcp-rce-guard` ist Layer-3-Verteidigung gegen Remote-Code-Execution. `mcp-tenant-pair` und `mcp-tenant-context` liefern Multi-User-Tenancy und Actor-Context als kleine Libraries. `mcp-stateless-migrator` und `mcp-spec-migrator-2511` portieren Server zwischen den Spec-Versionen. ## Memory und die SaaS-Server `studiomeyer-memory` ist unser AI-Memory-Server mit 56 Tools, Knowledge-Graph und semantischer Suche. `local-memory-mcp` ist die local-first-Variante: SQLite plus Knowledge-Graph, kein Cloud, keine API-Keys, ein npx-Befehl. `studiomeyer-crm` ist ein AI-natives CRM mit 33 Tools ganz ohne Dashboard. `studiomeyer-geo` misst über 25 Tools wie acht LLM-Plattformen deine Marke sehen. `studiomeyer-crew` bringt acht Experten-Personas in Claude, ohne extra API-Kosten. `mcp-personal-suite` bündelt E-Mail, Kalender, Messaging, Suche und Bildgenerierung als local-first-Server mit BYOK. ## Agents und Self-Improvement `darwin-agents` sind Agents die sich selbst verbessern: Prompts entwickeln sich per A/B-Test und Multi-Model-Critics weiter, mit Safety-Gates. Das Paket ist mit rund 1.300 Installs im Monat der npm-Spitzenreiter im Stack. `darwin-langgraph` ist der Adapter dazu für LangGraph.js. `ai-shield` ist ein Security-Toolkit für LLM-Apps: Prompt-Injection-Detection, PII-Masking, Cost-Tracking, unter 25ms, null Dependencies. `agent-fleet` orchestriert spezialisierte Agents parallel in der Claude-Code-CLI. ## Kleine Werkzeuge `mcp-otel` bridged W3C Trace Context in OpenTelemetry-Spans, damit Host, Server und Tool als ein Trace erscheinen. `mcp-cache-kit` sorgt für leak-safe Caching, damit ein private Result nie über Tenants hinweg geteilt wird. `skilldoctor` ist ein Linter und Security-Scanner für Agent-Skill-Files, er findet Prompt-Injection in installierten Skills. `statepilot` erzwingt deterministische State-Machine-Guards in Agent-Workflows, fail-closed. ## n8n, Temporal und der lange Tail `n8n-nodes-studiomeyer-memory` ist ein Community-Node der unser Memory in n8n-Workflows bringt. `n8n-templates` und `n8n-workflows` sind gehärtete Workflow-Vorlagen. `temporal-memory-workflows` liefert durable Temporal-Templates mit Memory-Integration. Dazu ein langer Tail: `nex-local-bench` (ein reproduzierbares LongMemEval-Harness gegen Mem0, Graphiti und Letta mit lokalen Readern), das `meetmyagent-sdk`, ein AI-Shield-Python-Port, die `mcp-academy` selbst und ein paar mehr. ## Was nicht glatt lief Zwei Sachen. Als ich `mcp-pdf` auf npm bringen wollte, war der Name schon von jemand anderem belegt. HTTP 403, Ende der Diskussion. Generische Paketnamen sind auf npm ein Wettrennen das man selten gewinnt, die scoped-Variante ist der Ausweg. Und die eingangs erwähnte 29-Repos-Zahl im eigenen Org-README: die stand da monatelang während die echte Zahl auf 42 gewachsen war. Zahlen veralten, auch die eigenen, und ausgerechnet die Zahlen die andere über einen zitieren. Deshalb messe ich sie jetzt live per API statt sie zu tippen. Wenn Du selbst einen MCP-Server bauen und veröffentlichen willst, das ist genau der Weg den wir vielfach gegangen sind. Die Schritte von Server-Planung bis npm-Publish stehen in [Level 6: Deployment und Distribution](/levels/6/04-deployment-und-distribution), und wer erst plant welchen Server er überhaupt braucht, fängt bei [Server planen](/levels/6/01-mcp-server-planen) an. Und wenn Du sehen willst wie die Server im offiziellen Verzeichnis auftauchen: die [MCP Registry](https://registry.modelcontextprotocol.io) crawlt npm und GitHub, und von dort ziehen Glama, PulseMCP und andere automatisch nach.