FastMCP 客户端为何把工具结果的 schema 名称当成了代码

FastMCP 官方安全公告 GHSA-gpgx-58w2-xwwf 披露客户端一处 Critical 级远程代码执行漏洞，公告于 UTC 2026 年 10 月 16 日发布，补丁此前已合并。旧实现的自引用分支把服务端 schema 的 title 未净化送入 ForwardRef，Pydantic 求值时攻击者提供的表达式即可执行；触发需攻击者控制 MCP 服务端、客户端获准连接并调用返回特制 schema 与非空 structuredContent 的工具。代码按客户端进程现有权限运行，漏洞在解析结果时触发，不需要模型接受恶意指令，文章认为提示词层防御无法修复这类程序缺陷。官方演示在 Python 3.11 下复现了 3.3.1、3.4.7 与 4.0.10，修复还给 schema 转换加上 64 层与 50,000 节点上限。