The Hacker News、OX Security 等 3 个来源The Hacker News 等 3 个来源 · 3篇报道 · OX Security 在 The Hacker News 署名文章中介绍对 15,465 个公开 MCP 服务器的调查，称部分基础设施失效或治理不足，并讨论数据驻留、过期域名及远程后端难以仅凭公开代码持续核验等问题。其后续分析基于其中 5,095 个唯一主机名：15.6%（796 个）解析到美国境外，包括中国和俄罗斯，而 MCP 目前没有原生协议机制约束连接工具的运行位置或数据处理位置；2.3% 已无法解析，0.45% 位于家庭网络或消费级隧道服务，6 个过期域名可以每年 4 至 12 美元购得，若 MCP 客户端或工作流继续信任并调用这些域名，可能形成接管。CSA Labs Research 引述该研究称，这一生态缺乏一致的授权模型、运营者身份与生命周期问责机制，注册表收录只是发现便利，不构成安全保证。
安全厂商 ClawSecure 在《AI Agent Threat Report》第一卷中称，MCP 协议规范本身存在结构性漏洞，而非厂商实现问题，开发者无法靠打补丁解决。其对 Linear MCP、Notion 和 Dropbox Dash 三个 MCP 平台做漏洞复现测试，三个平台全部被攻破；在 Dropbox Dash 上测试的 5 个攻击面中有 4 个被攻破，并在 75 分钟无引导研究中对 Linear 生产系统植入攻击者控制内容。对来自五家前沿实验室的 14 款模型做间接提示注入红队测试，全部模型都服从了攻击者指令，表现最好的 Claude Opus 4.7 服从率为 26.7%，GPT-5.5 与 Qwen 3.7 Max 为 91.7%，Gemini 3.1-flash-lite 及多款 Gemini 2.5/3.5-flash 达 100%。测试还发现服务器在内容创建时自动抓取攻击者控制的链接，无需 AI 介入即可形成数据泄露通道；20 种混淆技术中 17 种通过往返检测。
Tenet Security、Forkast 等 4 个来源Tenet Security 等 4 个来源 · 4篇报道 · Tenet Security 在 DEF CON 34 披露名为 GhostJacking 的 AI 智能体攻击链，称其完全由智能体已被授权的动作组成、端到端零检测。攻击入口是智能体信任的服务日志，例如 Cloudflare 的 Managed Ruleset 拦截请求后把 User-Agent 等字段逐字节写入日志，智能体通过 MCP 读取时将其当作普通元数据，进而修改 DNS 记录，涉及 Claude Code（Sonnet）等，并可沙箱逃逸。ngCERT 于 2026 年 10 月 6 日发布警告，将 Ghostjacking 列为国家级威胁，把 MCP 集成攻击面纳入国家 CERT 范畴；攻击利用 Model Context Protocol 的隐式信任，让智能体把外部检索数据当作指令执行，由于代码执行或云凭证访问都落在智能体授权范围内，EDR、WAF、IAM 等传统防护难以察觉。研究涉及多个监控与基础设施平台，提示工具返回的数据应与操作授权分开处理。相关结果来自厂商研究和受控演示，不能表述为实际客户系统已遭攻击，也不能外推为所有智能体配置都会失守。
Claude、dev.to 等 3 个来源Claude 等 3 个来源 · 3篇报道 · Anthropic 为 Claude Code 推出 mods 系统，开发者可用 TypeScript 或 JavaScript 函数挂钩工具调用、用户提示词与 UI 渲染等事件，改写提示词、增删界面或替换内置功能，内置 /diff 已改为由 mod 实现，功能已在 CLI 和桌面应用上线。mods 随插件分发，以用户权限运行且不做沙箱隔离，与 Claude Code 拥有同等机器权限，官方建议只安装可信来源；企业可控制允许加载的 mods，Team 和 Enterprise 计划及配置了 managed settings 的机器会先加载 sec-default mod。后续测试显示，在 Claude Code 2.1.287 上以 headless 模式重复运行同一提示七次，其中一次同时加载一个七行插件和 Bash(touch:*) deny 规则，结果文件被创建，结果 JSON 报告零次权限拒绝，调试日志显示插件返回 allow 后覆盖了 deny 规则；通过 claude plugin install 正常安装插件时结果相同。
