Corelight：MCP服务器设置让依赖项在不知不觉中变动

uvx将一个MCP服务器重建成15组依赖项

Corelight发现，一个MCP服务器通过uvx启动。uvx是一种单步工具，可下载Python软件包，并从一行配置中运行该软件包。每次重建环境时，启动器都会从PyPI解析依赖项，因此在一个看似已锁定的版本下，有69个软件包中的23个发生了版本变化。

该项目锁定了7个直接依赖项，并发布了一个哈希锁定文件，但启动器安装的是软件包声明的依赖项，而不是该锁定文件中的依赖项。其缓存中保存了同一版本和提交的19次构建，历时5周，生成了15个不同的环境。

另一个按提交锁定的服务器在19次构建中生成了17个不同的环境。其MCP框架比项目自身锁定文件中的版本领先两个大版本。

审查的35个MCP服务器中有23个重新获取依赖项

Corelight审查了来自两个供应商目录和自有实验室的35个MCP服务器。该公司发现，其中23个建议的安装方式会从公共注册表重新解析依赖项。

在几家供应商的官方设置说明中，本地MCP代理使用npm的单步运行器和latest标签启动。这会导致客户端每次启动时都从npm注册表请求最新版本。

一个代理在最近的一个月内发布了6个版本，其中4个在14小时内发布。Corelight称，测试显示，冻结5个服务器后，它们安装的软件包列表在两周内启动457次后仍未变化。

MCP依赖项可访问令牌和管理系统

Corelight称，任何依赖项中的代码，包括没有人刻意选择的软件包，都会以服务器拥有的权限运行。这包括其环境中的API令牌、用户文件以及从工作站可到达的网络路径。

同一份遥测数据记录到一周内连接11个管理系统超过1600次。这些系统包括防火墙、SIEM和传感器管理系统。

Corelight提到一个广泛使用的MCP代理在2025年存在一个严重的命令注入漏洞，其CVSS评分为9.6。该公司称，恶意服务器或被拦截的服务器可能会在用户计算机上触发该漏洞。

Corelight建议将服务器锁定到提交，从哈希锁定文件安装，直接启动已安装的服务器，并禁用启动时的更新检查。