MCP over HTTP 存在 OAuth audience 校验漏洞

安全研究者指出，在 HTTP + OAuth 上运行 MCP 服务器时，仅验证 token 是否有效并不安全，还必须校验 token 的 audience claim 是否指向自己的服务器，否则存在被冒用风险。Agent Field Kit 作者同时开源了一套包含 35 项控制点的 AI Agent 端到端安全审计工具包 Agent Security Audit Kit，并再次强调这一常见的 MCP 安全漏洞，供开发者自查加固。

2026-11-05 ~ 2026-11-05 · 2 条相关

• MCP over HTTP 的 OAuth 坑：只验 token 有效性不够，必须校验 audience — alvelda · 2026-11-05
• Agent Security Audit Kit：35 项控制点的 AI Agent 安全审计工具包 — alvelda · 2026-11-05