- Corelight表示，一個MCP伺服器在5星期內使用過15套不同的依賴項，期間配置沒有任何更改。
- Corelight表示，在其檢視的35個MCP伺服器中，有23個建議的安裝方式會從公開註冊庫重新解析依賴項。
- 依賴項在MCP伺服器的程序中運行，可存取其API代幣、用戶檔案及可連接網絡路徑。
Corelight於2026年11月10日發布報告，表示一個MCP伺服器在5星期內使用過15套不同的依賴項，期間配置沒有任何更改。
Corelight表示，在其檢視的35個MCP伺服器中，有23個建議的安裝方式會從公開註冊庫重新解析依賴項。任何依賴項內的程式碼均以伺服器擁有的權限運行，包括API代幣、用戶檔案及網絡路徑。
Corelight表示，問題源於設定選擇，而非MCP本身。其檢視涵蓋兩個供應商目錄及自家實驗室的伺服器，亦發現一星期內MCP伺服器與11個管理系統建立超過1,600個連接。
uvx將一個MCP伺服器重建成15套依賴項
Corelight發現，一個MCP伺服器使用uvx啟動。uvx是一個一步完成的工具，可下載Python套件，並從單一配置行執行該套件。每當重建環境時，啟動器都會從PyPI解析依賴項，導致在一個看似已鎖定版本的發布版本下，69個套件中有23個更改版本。
該項目鎖定了7個直接依賴項，並發布以雜湊值鎖定的鎖定檔案，但啟動器安裝的是套件聲明的依賴項，而非該鎖定檔案。其快取在5星期內保留了同一發布版本及提交版本的19次構建，產生15個不同環境。
另一個以提交版本鎖定的伺服器在19次構建中產生17個不同環境。其MCP框架比項目本身鎖定檔案中的版本超前兩個主要版本。
檢視的35個MCP伺服器中有23個重新提取依賴項
Corelight檢視了兩個供應商目錄及自家實驗室的35個MCP伺服器。該公司發現，其中23個建議的安裝方式會從公開註冊庫重新解析依賴項。
在數個供應商的官方設定指示中，本地MCP代理使用npm的一步執行器及latest標籤啟動。這導致用戶端每次啟動時，都會向npm註冊庫要求最新版本。
一個代理在最近一個月發布了6個版本，其中4個在14小時內發布。Corelight表示，其測試顯示，鎖定5個伺服器後，這些伺服器所安裝的套件清單在兩星期內啟動457次後仍維持不變。
MCP依賴項可存取代幣及管理系統
Corelight表示，任何依賴項內的程式碼，包括沒有人刻意選取的套件，均會以伺服器擁有的權限運行。這包括其環境中的API代幣、用戶檔案及可從工作站連接的網絡路徑。
同一批遙測資料記錄到一星期內連接11個管理系統超過1,600次。這些系統包括防火牆、SIEM及感測器管理系統。
Corelight引用一個廣泛使用的MCP代理於2025年出現的嚴重命令注入漏洞，其CVSS評分為9.6。該公司表示，惡意或遭截取的伺服器可在用戶機器上觸發該漏洞。
Corelight建議將伺服器鎖定至提交版本，從以雜湊值鎖定的鎖定檔案安裝，直接啟動已安裝的伺服器，以及停用啟動時更新檢查。
防守方現在要做甚麼
- 鎖定至提交版本，而非標籤。從項目以雜湊值鎖定的鎖定檔案安裝。直接啟動已安裝的伺服器，而非透過一步啟動器。關閉啟動時更新檢查。
常見問題
Corelight發現MCP伺服器安裝程式有何問題？
Corelight表示，在其檢視的35個MCP伺服器中，有23個建議的安裝方式會從公開註冊庫重新解析依賴項。
一個MCP伺服器多久重建一次？
Corelight表示，一個MCP伺服器在5星期內使用過15套不同的依賴項，其快取保留了同一發布版本及提交版本的19次構建。
MCP依賴項問題影響誰？
當依賴項以可存取API代幣、用戶檔案及可連接網絡路徑的權限運行時，運行MCP伺服器的AI編程助理可能受到影響。
MCP伺服器應如何安裝？
Corelight建議鎖定至提交版本，從以雜湊值鎖定的鎖定檔案安裝，直接啟動已安裝的伺服器，並關閉啟動時更新檢查。
問題是MCP本身的缺陷嗎？
Corelight表示，問題源於設定指示或配置的選擇，而非MCP本身的缺陷。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Corelight發現，AI編程助理在管理員工作站上運行帶有特權憑證的MCP伺服器，但當中沒有任何內容遭入侵。 | Corelight | 已證實 |
| Corelight發現，一個MCP伺服器在5星期內使用15套不同依賴項運行，而配置沒有任何變更。 | Corelight | 已證實 |
| 每當環境重建時，啟動器都會從PyPI解析依賴項，導致在一個看似已鎖定版本的發布版本下，69個套件中有23個更改版本。 | Corelight | 已證實 |
| MCP伺服器使用uvx啟動；uvx可下載Python套件，並從一行配置執行該套件。 | Corelight | 已證實 |
| 該項目鎖定了7個直接依賴項，並發布以雜湊值鎖定的鎖定檔案，但啟動器沒有從該鎖定檔案安裝。 | Corelight | 已證實 |
| 啟動器的快取在5星期內保留了同一發布版本及提交版本的19次構建，產生15個不同環境。 | Corelight | 已證實 |
| 一個以提交版本鎖定的伺服器有19次構建及17個不同環境，而其MCP框架比鎖定檔案超前兩個主要版本。 | Corelight | 已證實 |
| Corelight發現，在檢視的35個MCP伺服器中，有23個建議的安裝方式會從公開註冊庫重新解析依賴項。 | Corelight | 已證實 |
| 部分供應商的設定指示使用npm的latest標籤啟動本地MCP代理，導致用戶端每次啟動時要求最新版本。 | Corelight | 已證實 |
| 一個代理在最近一個月發布了6個版本，其中4個在14小時內發布。 | Corelight | 已證實 |
| Corelight表示，問題由設定選擇造成，而非MCP本身的缺陷。 | Corelight | 已證實 |
| 依賴項在MCP伺服器的程序中運行，可存取其API代幣、用戶檔案及可連接網絡路徑。 | Corelight | 已證實 |
| Corelight觀察到，一星期內MCP伺服器連接11個管理系統超過1,600次。 | Corelight | 已證實 |
| Corelight鎖定5個MCP伺服器，發現它們所安裝的套件清單在兩星期內啟動457次後仍然不變。 | Corelight | 已證實 |
| Corelight引用一個MCP代理於2025年出現的嚴重命令注入漏洞，其CVSS評分為9.6。 | Corelight | 已證實 |
| Corelight建議每個MCP伺服器使用獨立的最低權限帳戶或API用戶端，並使用會過期的代幣。 | Corelight | 已證實 |
| Bitsight發現，在2026年2月至8月期間，數以千計的地下論壇帖子中提及AI代理、間接提示注入及MCP的次數上升67%。 | Bitsight, via Help Net Security | 引述 |
| Bitsight表示，賣家聲稱在199部掃描主機中發現1,072項問題，但該公司無法核實該數字。 | Bitsight, via Help Net Security | 引述 |
| HKCERT於2026年11月11日發布報告。 | HKCERT | 已證實 |
| corelight.com於2026年11月10日發布報告。 | corelight.com | 已證實 |
未能核實
- 是否有任何惡意依賴項利用所述MCP部署弱點，尚未確定
- 是否有任何機構遭遇憑證被竊或入侵，尚未確定
- CVSS評分9.6的代理漏洞是否有CVE識別碼，尚未確定
- 有多少機構採用受影響的MCP部署模式，尚未確定
