MCPgrade给MCP服务器打安全分

LankyStruggle7605 · reddit · 2026-07-20

**MCPgrade** 是一个给 MCP 服务器做安全分级的工具，会在代理信任它们之前先跑 6 项静态检查并打出 **A–F** 评分。它主要检查： - 工具描述里的 prompt injection - 包来源与 provenance - 密钥处理方式 - 权限范围 - 版本变更 - 传输与认证作者已经对大约 **17,700** 个服务器做了扫描。粗略分布是：**A 325**、**B 10,761**、**C 2,503**、**D 356**、**F 38**，另外还有 **3,712** 个因为可见信息不足无法完成评级。作者也说明，这套方法只做静态分析，所以看不到运行时行为；如果不实际执行本地服务，就拿不到完整的 live tool list。项目提供争议申诉入口，服务器维护者如果觉得评分不准可以提交复核。