论文提出三层可观测性框架，对公共 MCP 服务器生态进行实证刻画，覆盖目录元数据、被动合规信号与实时漏洞分析三个层级。作者对两个公共注册表中分层抽样的 179 个远程端点进行评估，发现基础设施高度集中：按 ASN 分布计算的 HHI 为 0.736，远高于 0.25 的高度集中市场阈值。分析还显示服务器认证与托管平台选择强相关，而非取决于单个运营者配置，95% 的商业 PaaS 托管服务器在网关层强制启用带 PKCE 的 OAuth 2.1。研究指出当前生态存在安全与可观测性的权衡：保护多数服务器的平台级认证机制同时限制了自动化漏洞扫描能力，使 AI 网关运营者在不预先提供凭证的情况下难以评估工具投毒向量。
Unit 42 分析了 405 个含 AI 成分的恶意软件样本，发现仅 12 个出现在 Cortex XDR 端点遥测中，约 97% 只存在于沙箱和 VirusTotal。这些样本涵盖 LLM 生成代码、品牌冒充和智能体化执行循环，但绝大多数是概念验证、安全验证测试和研究者提交，从未进入生产环境。Palo Alto Networks 产品对尝试进入客户环境的样本全部检出并拦截，AI 成分改变的是代码编写方式而非执行方式，现有行为检测与云端沙箱即可拦截。
Datadog Security Labs 用同一提示词让 Sonnet 5、Composer 2.5、GPT 5.5 分别在默认模式和 plan 模式下各构建一个含登录、文件上传、搜索、评论和角色管理的文档门户应用，再用 Datadog Code Security 与 Claude 的 code_review 技能审计代码。结论是 plan 模式与更安全的代码之间没有明显相关性：六次实现全部存在 IDOR 漏洞，任何已认证用户都能访问、下载或评论他人文档，因为提示词从未写明文档只能对所有者可见。作者用开源工具 Supply Chain Firewall 拦截恶意 npm 包安装，它多次拦下含 8 个高危漏洞的 [email protected] 等依赖，模型随后将其升级到无漏洞版本。作者认为提示词对减少安全漏洞的影响大于模式选择，后续将测试专门的安全技能与提示词。
Wiz Research《2026 年云中 AI 现状报告》基于数十万个真实云环境的数据指出，至少 81% 的云环境在使用托管 AI 服务，90% 运行自托管 AI 软件，其中 68% 的组织通过第三方软件引入自托管模型。至少 80% 组织的开发者已在用 AI IDE 插件，57% 组织部署了自托管 AI 智能体，Model Context Protocol（MCP）服务器出现在 80% 的环境中，带来新的控制平面风险。