一、为什么需要评估
Anthropic 不审计也不管理任何第三方 MCP Server。安全评估的责任完全在使用者。
这不是理论风险。以下是已公开的真实安全事件：
统计数据同样严峻：
- Cornell 研究扫描 1,899 个开源 MCP Server，5.5% 存在 Tool Poisoning 漏洞
- BlueRock 扫描 7,000+ MCP Server，36.7% 存在 SSRF 漏洞
- Equixly 安全评估发现 43% 含命令注入、30% SSRF、22% 路径遍历
- Adversa AI 将 Prompt Injection 和 Tool Poisoning 列为 MCP 安全风险 Top 2
官方和知名开发者的 Server 同样出现严重漏洞。来源可信度不能替代系统化评估。
二、限制与红线
安全评估存在不可跨越的底线。以下场景无论评估结果如何，都应拒绝安装：
硬约束（技术不可行的安全保障）：
- 二进制分发、无源代码的 MCP Server — 无法审计实际行为
- 要求
admin或owner级别 Token 但功能仅需只读权限 — 违反最小权限原则 - 工具注释（Tool Annotations）声称
readOnlyHint: true但实际修改文件系统 — 注释是自报告的 hint，不是安全保证
软约束（技术可行但代价高）：