Preflight:agent 连接前先扫描 MCP 服务器,查无凭据暴露与后门描述
atp_studio_coll · reddit · 2026-10-10
作者引用安全现状：一次审计发现超半数公开 MCP 服务器已被弃管，Censys 扫描发现数千台无访问控制地暴露在公网，而协议本身不阻止 agent 连接任意服务器。于是他做了 Preflight——一个在 agent 连接前检查目标 MCP 服务器的工具。
它本身也是 MCP 服务器，agent 可先调用它再连接其他任何服务器，免费层无需注册。检查四个方面：
- 工具输入 schema 是否真正限制了作用范围（如「读文件」工具接受任意路径，实为全文件系统读取器）
- 服务器是否在无凭据情况下分发工具列表
- 是否匹配已记录的供应链攻击事件特征
- 付费层：工具描述中是否含有写给模型而非部署者看的措辞（潜在后门注入）
「编程与Agent」频道最新
- Neon 推出 TanStack AI 官方 AI Gateway 适配器，一个凭据调用多家模型 — matei_zaharia · 2026-10-23
- Modal 开源 Spindle：Tinker 兼容训练服务器，按 GPU 计费不再按 token 付费 — andersonbcdefg · 2026-10-23
- Reflection AI 演示 Beam 接入 opencode,自动微调 Gemma-4 准确率提升 66.5% — danielhanchen · 2026-10-23
- Cua 推出 Spaces SDK：让 Hermes 等 Agent 跑在你自己的电脑沙箱里 — Teknium · 2026-10-23
- PHP 爆两个未认证 RCE 漏洞，ProjectDiscovery 推全网免费告警服务 — cyb3rops · 2026-10-23
- Modal 开源 Spindle：Tinker 兼容自托管训练服务器，按 GPU 计费替代按 token 计费 — josh_wills · 2026-10-23