研究刻画远程 MCP 生态的网络集中度与可观测性

远程 MCP 是否集中在少数网络提供商，以及平台级认证是否让网关无法在接入前检查工具投毒。

• 场景：作者认为 MCP 正从本地标准 I/O 转到远程 Streamable HTTP，智能体要连接外部数据源和执行环境。恶意或被攻陷的服务器可经操纵后的 schema 把对抗内容送入 LLM 上下文；作者称客户端智能体的非确定性与自主性会加重这一风险。
• 要回答的三件事：托管集中度决定基础设施故障的波及范围；认证态势决定网关能否在发放凭证前筛查工具 schema；平台既集中托管又强制认证时，核验工具安全所需的自动扫描会被挡住。作者把第三点称为 Security-Observability Tradeoff。
• 作者所称的缺口：作者称此前没有对远程 MCP 部署层做结构化的服务器侧测量，已有工作主要是本地漏洞发现或客户端注册表聚合。
• 本文给出的框架：三层可观测性 O0（目录元数据）、O1（连接后的被动合规信号）、O2（仅当允许未认证工具枚举时的实时漏洞分析），用在两个公开注册表的端点上，服务网关的信任判断。
• 工具投毒在文中的含义：作者把间接提示注入对应到工具投毒，即恶意运营者把对抗指令放进工具名、描述或 schema 注释；客户端枚举工具时，这些文字被当作合法上下文，可能引出数据外泄或未授权工具调用。测量本身不投毒，也不调用工具。

协议

• MCP 规范（2025年6月）：Anthropic 开发并交由 Linux Foundation AAIF 维护。作者写明三类原语为 Tools、Resources、Prompts；该版把 Streamable HTTP 定为远程传输，弃用与无状态负载均衡不兼容的 HTTP+SSE 双通道，并要求托管的多租户部署使用 OAuth 2.1 与 PKCE S256。

工具投毒与间接提示注入

• Greshake et al.（2023）：提出间接提示注入，控制被检索内容的对手可不直接访问查询接口而改变 LLM 应用的行为。作者将这一威胁对应到 MCP 中的工具投毒。
• MCPTox（Lee and Kim, 2026）：对 MCP 基础设施做红队。作者称该向量在生产环境中可被利用。论文没有转述其攻击步骤。
• 生态中的相近讨论：Wang et al.（2025）的 Internet of Agents 综述把信任边界违反放进多智能体分类；Patel（2025）在 A2A 协议中写了类似注入风险。论文只作定位。

互联网基础设施集中度

• Moura et al.（2020）：量化全球 DNS 查询流量在主要递归解析器上的集中，少数云厂商占不成比例的份额。作者把 HHI 这一度量用到 MCP 部署层。
• 托管业整合（Moura et al., 2021）：记录独立运营者走向共享基础设施、在 IP 层形成寡头。作者将其当作测量先例和分析词汇。

AI 协议生态测量

• 互操作与拥塞：Smith et al.（2025）综述 MCP、ACP、A2A 与 ANP；Davis et al. 的 Concur（2026）研究自治智能体的拥塞控制。论文只说明这些是此前的测量题目。
• MCPCrawler（Doe et al., 2025）：刻画客户端交互并汇总多个注册表的市场元数据，在 2025 修订前的数据里 SSE 是主要传输。作者写明差别：本文看服务器侧远程部署，用三层信号分开目录、连接后与实时安全信息，并讨论客户端分析没有写的 Security-Observability Tradeoff。

基线与数据来源：论文没有设置对照扫描器或对照集中度算法。安全标签使用公开的 AgentSeal CLI；端点来自 Official MCP Registry 与 Smithery。

作者把本文放在服务器侧网络测量，用来刻画托管集中、认证姿态和可观测性之间的关系，而不是提出新的投毒方法或已验证的防御。

测量按网关接入远程服务器的阶段组织成 O0、O1、O2。Fig. 1 把连接后的服务器分成 OPEN 与 AUTH GATED，并标出 AUTH GATED 挡住 Tier 2。认证挑战若在 MCP 握手完成前发出，O1 与 O2 都不可用。

三层信号

• O0：连接前从注册表 API 读取。式(1)含描述 d、类别标签 c、声明的传输类型 T、声明的协议版本 vs、来源注册表 src。作者排除 useCount 和 verified 徽章，理由是避免测到平台背书而不是服务器自身特征。
• O1：对可达服务器做 Streamable HTTP 握手，先发 initialize，再发 tools/list。特征写为 O₁={k,l̄,q̄,tls,pv}。k 是工具数，l 的均值是描述平均长度，q 的均值是同时具有类型声明和描述的参数比例，tls 表示是否强制 HTTPS，pv 是协商到的协议版本。
• 合规分：作者把三项取平均，以便跨服务器比较：

σ=1/3(tls+𝟙[pv≥ 2024-11-05]+q̄) 协议版本不早于 2024-11-05 时，指示器取 1。AUTH GATED 服务器没有 O1。

抽样与探测

• 目录：作者称测量时只有两个可公开访问且能用 API 查询的远程 MCP 目录，即 Anthropic 整理的 Official MCP Registry 与商业 PaaS 注册表 Smithery。私有、企业和仅邀请目录被排除；作者称这是可发现性本身的特征。
• 分层：Smithery 用分页 API 取 150 台，按 useCount 等分三层各 50：前 50、排名 201–250、排名 1001–1050。作者称这是为了减轻不活跃注册的重尾，并覆盖高、中、长尾，而不是只抽热门或新上架。Official 的 29 个 remote-capable 端点全部纳入，不做分层。
• 可达与约束：5000 ms 内接受 TCP 记为可达，其余为超时或 HTTP 4xx/5xx。伦理节写明最多 3 个并发、每个目标间隔 1 秒，不调用 tools/call，也不使用第三方凭证。

O2 与预筛分类器

• 扫描：公开的 agentseal scan-mcp 对照其维护的提示注入模式库检查工具 schema，并用嵌入余弦距离检测语义上被改写的载荷。信任分 τ 取值 0 到 100；τ≥70 为 SAFE，否则 NEEDS_REVIEW。作者把该输出称为 ground-truth 安全标签。HTTP 401 或 403 另标为 AUTH_GATED，以免把认证执行和载荷安全混为一谈。
• 分类器：用来看 O0 与 O1 能否预测 SAFE 与 NEEDS_REVIEW。描述经 all-MiniLM-L6-v2 编成 384 维，与 5 个 O1 标量拼成 389 维；逻辑回归使用 L2，C=1.0。论文把可用训练对象写成同时具有 O1 和 O2 的服务器。
• 权衡的定义：S 是远程可达服务器，Sauth 是实施平台级认证的子集，Sopen 是其余部分。函数 f 只定义在 Sopen 上，输出 SAFE 或 NEEDS_REVIEW。作者写：提高认证所占比例会缩小 f 的定义域。

集中度与认证对比

• HHI：对可达端点解析 ASN 后，把各 ASN 的服务器份额取平方再求和。论文转述 DOJ 指南：低于 0.15 为不集中，0.15 到 0.25 为中等，高于 0.25 为高集中。
• 分组：按 Smithery 托管与外部托管计算 AUTH_GATED 的条件概率。作者预先写明，外部探针无法区分网关默认认证和开发者自行打开的认证。

实验设置

• 端点：Official MCP Registry 对 29 个 remote-capable 端点做普查；Smithery 按 useCount 抽 150 个，三层各 50。合计尝试 179（III-B）。
• 可达性：Table I 中，Official 可达 20/29（69.0%），Smithery 可达 56/150（37.3%），合计 76/179（42.5%）。判定为 5000 ms 内接受 TCP。论文未报告重复次数。
• 姿态计数：同一张表把可达服务器分成 AUTH_GATED、OPEN（SAFE）、FAILED CONN：Official 为 10、7、3；Smithery 为 53、0、3；合计 63、7、6。
• O2：agentseal scan-mcp 给出 τ，τ≥70 为 SAFE，否则 NEEDS_REVIEW；401/403 记为 AUTH_GATED。作者称该判决为 ground-truth。论文未报告与人工判定的一致性，也未报告模式库规模。
• 分类器：all-MiniLM-L6-v2 的 384 维向量加 5 个 O1 标量，逻辑回归 L2、C=1.0。只有同时具备 O1 与 O2 的服务器能进入该任务。
• 时间与 ASN：作者把生态状态写成 2025 年 6 月的测量。76 个可达端点经外部 IP 信息接口得到 ASN，再计算 HHI。

主结果

Swipe horizontally to read the table

结果	条件	数值	出处
HHI	76个可达端点的ASN份额平方和	0.736	式(4)，IV-B
AS13335占比	上述76个端点，Cloudflare	65/76（85.5%）	Fig. 3，IV-B
AUTH_GATED	Smithery托管的可达服务器	53/56（94.6%）	Table I，V-A
AUTH_GATED	作者所称外部托管的可达服务器	10/20（50.0%）	Table I，V-A
对Tier 2不透明	可达服务器中的AUTH_GATED	63/76（82.9%）	VI-C
SAFE	可未认证枚举且进入O2的服务器	7/7	Table I，VI-B

• 集中度：作者称该 HHI 高于其转述的 0.25 高集中阈值，并给出相对该阈值的倍数 2.94；又称为比多数曾受反垄断审查的市场更集中，论文未给出那些市场的 HHI。作者把主导 ASN 上的路由中断、BGP 前缀劫持或平台事故类比为集中式 DNS 的单点故障，并称受影响的是自治智能体。
• 认证与平台：作者认为差异与托管平台相一致。Smithery 在统一域名后放置集中的 OAuth 授权服务器，外部测量无法区分平台默认和开发者自配。作者写明横截面不能确立因果，选择该平台的运营者也可能自行打开认证。
• 权衡的范围：作者称在这批数据里，平台认证使大部分可达服务器进不了 Tier 2；提高认证比例会继续缩小可扫描集合。作者在 VI-C 写明，这一刻画对应 2025 年 6 月，不应解释成所有 MCP 架构的普遍性质。

未认证枚举与网关认证

• 开放枚举：Smithery 的 56 台可达服务器中，允许未认证工具枚举的为 0，传输级失败为 3。外部托管的 20 台中，7 台（35.0%）可以开放枚举。作者给出的两个 AUTH_GATED 条件概率相差 44.6 个百分点（V-A，Fig. 4）。条件概率的分母含 Table I 中的 FAILED CONN。
• 作者的对应：作者称 Smithery 在网关执行 2025 年 6 月规范所要求的 OAuth 2.1 with PKCE S256。结论把 PaaS 上的 AUTH_GATED 比例写成这一网关认证；V-A 的直接观测是认证挑战，论文没有另给逐台核对 PKCE 握手的比例。

跨注册表托管

• 域名：Official 的 20 个可达端点有 0 个落在 Smithery 的 run.tools 上；Smithery 的 56 个可达端点全部落在该域名。Fig. 2 用零计数标注这种互不交叉。作者称没有 Official 服务器部署在 Smithery PaaS 上，也没有 Smithery 列出的服务器放在第三方提供商。
• 抽样比：两边相加时，56/76（73.7%）位于该域名。作者称这一合计部分来自 150:29 的抽样比，因此同时报告分注册表的数字。

可扫描服务器与分类器

• O1 汇总：7 台外部托管且开放的服务器上，工具数 k 为 0 到 13（均值 7.3，中位数 6），schema 质量均值 0.61，7 台都强制 HTTPS，合规分均值 0.74（V-C）。论文未给出平均描述长度，也未单独给出协议版本指示器的比例。
• O2 判决：这 7 台全部为 SAFE。作者称没有检出具体的工具投毒载荷，并称 SAFE 不是无内容的判定，因为这些服务器暴露了有实质内容的工具接口。标签零方差，恒预测 SAFE 的零规则分类器准确率为 100%。
• 作者的解释：作者承认 7 个观测做不了常规显著性检验，并把单类结果解释为平台认证挡住了最大的服务器群；作者并写这不是实验设计失败。逻辑回归因此没有可用的两类标签。论文未报告系数。

其他消融与分析

• 逻辑回归的输入是 384 维句向量加 5 个 O1 标量，L2，C=1.0；论文未报告非退化标签下的准确率或交叉验证。
• useCount 三层为前 50、排名 201–250、排名 1001–1050，各 50 台；论文未按层报告可达率、认证率或合规分。
• O0 排除 useCount 与 verified 徽章；抽样仍使用 useCount。
• 其余 ASN 为 AS400940、AS15169（Google Cloud）、AS16509（AWS）各 3 台，AS397273 与 AS8075（Microsoft Azure）各 1 台（IV-B）。
• 摘要把商业 PaaS 的网关级 OAuth 2.1 with PKCE 写成 95%；V-A 与结论采用表中的 53/56。
• 讨论中的凭证前置、本地 O0/O1 账本、签名工具清单和对 PaaS 与外部托管的差别信任，没有配套实验（VII-B）。

作者指出的局限与后续方向

• 时间：数据是 2025 年 6 月的一次横截面。作者称托管分布、认证率和注册表构成随后可能有较大变化，纵向测量会加强实证支持（VII-D）。
• 登记范围：样本来自两个公开注册表。作者写企业内网、仅邀请和私有托管的 MCP 服务器没有被代表（VII-D）。
• O2 规模：Tier 2 只限于 7 台开放服务器。作者称这个数量太小，不能对更广生态的工具投毒流行率做统计推广（VII-D）。
• 因果：作者在局限中写，托管平台与认证态势的相关虽然强，但没有对照实验或迁移前后的纵向观察，就不能解释为因果（VII-D）。
• 协议方向：VII-C 把工具 schema 透明日志，以及目录层的 schema_hash、scan_attestation_uri、last_scan_timestamp，写成测量所推动的设计方向，不是已验证方案，采用前需要进一步规范与社区评审。结论写后续应做纵向测量，并探索用这些机制把认证和可观测性拆开（IX）。

实验覆盖范围

• 样本：尝试连接的是 Official 全部 29 个 remote-capable 端点，以及 Smithery 按 useCount 抽取的 150 个（三层各 50），合计 179。5000 ms 内可达 76，其中 Official 20、Smithery 56（Table I，III-B）。
• 未进入测量的目录：私有、企业和仅邀请注册表被排除。方法节称它们不能经公开接口发现，并称这一排除不是靠无特权访问就能克服的方法学限制（III-B）。局限节称相应服务器未被代表（VII-D）。
• 标签：76 台可达服务器分为 AUTH_GATED、OPEN（SAFE）和 FAILED CONN。同时具有 O1 与 O2 的是 7 台外部开放服务器，AgentSeal 均为 SAFE（VI-B）。作者把扫描器输出称为 ground-truth；论文未报告与人工判定的一致性、模式库规模和重复次数。
• 网络与分组：ASN 与 HHI 使用这 76 个端点，正文列出 6 个 ASN（IV-B，Fig. 3）。认证按 Smithery 托管与外部托管比较（V-A，Fig. 4）。论文未按 useCount 的高、中、长尾分开报告可达率或认证率。
• 探测：测量发送 initialize 与 tools/list。伦理节写明未调用 tools/call、未使用第三方凭证，并发最多 3、间隔 1 秒（VIII）。论文写明的测量时间是 2025 年 6 月（VI-C，VII-D）。

这项工作测量远程 MCP 服务器，看网关在接入前能看见多少托管与工具安全信号。

• 问题：作者关心托管是否集中到少数网络提供商，以及平台级认证是否使工具 schema 无法在发放凭证前被自动检查。二者被写成 Security-Observability Tradeoff。
• 做法：O0 只取注册表中的描述、标签、传输、协议版本和来源；O1 在 initialize 与 tools/list 之后记录工具数、描述长度、schema 质量、HTTPS 和协议版本；O2 用 AgentSeal 对未认证可枚举的 schema 打分，τ≥70 记为 SAFE。Official 普查 29 个端点，Smithery 按 useCount 抽 150 个。
• 集中：76 个可达端点的 ASN HHI 为 0.736，AS13335（Cloudflare）占 65/76。作者称高于其引用的 0.25 高集中阈值。两个注册表的可达服务器没有交叉落到对方的托管上。
• 认证：Smithery 可达服务器中 AUTH_GATED 为 53/56，未认证枚举为 0；外部托管为 10/20 与 7/20。作者把前者联系到网关层 OAuth 2.1 with PKCE，并写明横截面不能确立因果。摘要另写 95%。
• 扫描边界：63/76 的可达服务器进不了 O2。进入 O2 的 7 台全部 SAFE，工具数均值 7.3，合规分均值 0.74。作者称未发现具体投毒载荷；标签没有方差，零规则准确率为 100%，且这 7 台不能支持流行率的统计推广。
• 作者的收束：作者称产生当前安全基线的平台认证，同时减少了用自动扫描核验该基线所需的可观测性。作者建议网关在安全评估前取得凭证，并把工具 schema 透明日志和目录层证明字段写成尚未验证、仍需规范与评审的方向；后续应做纵向测量。