扫描 277 个 MCP 服务器：21% 无凭据即可调用，patchbay 发现 6 个严重漏洞

SarahVoge · reddit · 2026-11-06

作者用 Claude Code 构建的免费 CLI 工具 patchbay 发布了 MCP 服务器 OAuth 2.1 安全审计的后续报告：

扫描规模：277 个公共 MCP 服务器（来自 Smithery、awesome-remote-mcp-servers 等），三轮扫描结果 100% 确定；264 个可达，其中 209 个强制认证，55 个（21%）无需任何凭据即可响应 tools/list
本周新增检测（源自社区反馈）：MANIFEST-001 首扫固定工具清单、后续扫描标记新增写入型工具（支持 stdio，覆盖 Claude Desktop 配置）；AUDIENCE-001 按 RFC 8707 检查跨 audience bearer token 拒绝；--fail-on=<severity> 支持 CI 集成
6 个严重发现均经人工复核，2 个处于 90 天披露 embargo 期，未验证前不点名；76 个服务器未声明 RFC 8707 resourceindicators，仅 6% 主机发布 security.txt；3 个原始严重漏洞厂商中 2 个没有任何安全联系渠道
承认 snyk、cisco 等已有扫描器，patchbay 差异化在于免费、无后端、公开聚合数据，MIT 开源

「编程与Agent」频道最新