扫描 11.8 万 MCP 服务器:64% 零星、仅 4.8% 用 OAuth

Glittering_Device653 · reddit · 2026-11-14

HostedMCP(开源 MCP 服务器与 agent skills 目录)发布 2026 年 11 月生态报告,目前追踪 118,434 个服务器(来自官方 registry、GitHub、npm、PyPI),并对热门项目做每周自动检查。关键数据:

星数极度集中:64% 的服务器零 GitHub 星;86,922 个仓库的星数基尼系数达 0.984,92 个仓库拿走全部星数的 60%。
远程已超本地:传输方式已知的服务器中,59.9% 仅远程,32.4% 仅本地。
认证薄弱:已知认证方式的服务器中仅 4.8% 用 OAuth,环境变量里的 API key 仍是默认做法。
44% 的服务器未声明任何许可证。
安全检查(15,380 个服务器,只读公开数据不执行代码):97 个在工具描述或 README 里嵌入针对模型的指令(prompt injection 风险),55 个包名与热门包仅一字符之差(供应链投毒风险),36 个带有严重级别 advisory 的依赖。
Skills 方面:7,500 个 skills 中 669 个在 allowed-tools 里预授权 shell 访问,agent 可不经确认直接执行命令。

完整方法论与局限性见其报告页,每项发现都附证据链接。

「编程与Agent」频道最新