2026 年 8 月 · 5 分钟阅读
MCP服务器供应链危机：36.7%存在SSRF漏洞，如何加固Agent基础设施
关键定义
MCP (Model Context Protocol) AI Agent连接工具和数据的标准协议，由Anthropic推出，允许Agent调用外部服务器上的文件系统、数据库、API和云服务。
SSRF (Server-Side Request Forgery) 服务端请求伪造漏洞，攻击者利用服务器发起请求访问内部网络资源，可窃取云凭证和敏感数据。
2026年初，BlueRock Security 对 7,000 多个公开 MCP 服务器进行了大规模安全扫描，发现 36.7% 存在 SSRF（服务端请求伪造）漏洞。更令人担忧的是，41% 的服务器完全没有身份认证。60 天内，针对 MCP 服务器的 CVE 超过 30 个。
发生了什么？
MCP（Model Context Protocol）是 AI Agent 连接工具和数据的关键协议，由 Anthropic 推出并已成为事实标准。它允许 Agent 调用外部服务器上的工具——文件系统、数据库、API、云服务。然而，MCP 服务器的安全问题在 2026 年初集中爆发。[来源]
BlueRock 的安全研究团队扫描了 7,000 多个公开注册的 MCP 服务器，结果令人震惊：36.7% 存在 SSRF 漏洞，攻击者可以利用这些漏洞诱骗服务器访问内部资源。在针对 Microsoft MarkItDown MCP 服务器的概念验证中，研究人员成功从 EC2 实例的元数据端点窃取了 AWS IAM 访问密钥、秘密密钥和会话令牌。[来源]
安全现状数据
以下是 BlueRock 和多家安全机构的综合调查数据：
SSRF 漏洞：36.7%
7,000+ MCP 服务器中，超过三分之一可被用于 SSRF 攻击，获取内部网络资源的访问权限。
无身份认证：41%
518 台测试服务器中，214 台（41%）完全没有身份认证。任何知道 URL 的人都可以调用这些 MCP 工具。
静态 API 密钥：53%
有认证的服务器中，53% 仅使用静态 API 密钥或个人访问令牌。仅 8.5% 使用 OAuth。
命令注入：43%
Equixly 测试发现 43% 的 MCP 服务器存在命令注入漏洞。
30+ CVE / 60 天
2026 年初 60 天内新增 30+ CVE，包括 CVSS 9.8 和 10.0 的严重漏洞。
数据来源：MCP Security Statistics 2026 — Practical DevSecOps
典型攻击场景
场景一：SSRF 窃取云凭证。 攻击者向 MCP 服务器发送精心构造的请求，让服务器向云元数据端点（如 AWS 的 169.254.169.254）发起请求。一旦成功，攻击者可以获得完整的云服务访问权限。
场景二：供应链投毒。 恶意 MCP 服务器伪装成合法工具发布到注册表。由于 MCP 服务器缺乏像 npm/pip 那样的签名验证机制，Agent 在运行时动态解析工具依赖关系，极易加载恶意服务器。[来源]
场景三：命令注入。 MCP 服务器未对用户输入进行充分验证，攻击者可通过在正常参数中嵌入 shell 命令来执行任意代码。
如何加固
对于企业 AI 团队，以下措施应立即执行：
1. MCP 服务器清单与审计。 建立所有已注册 MCP 服务器的清单，定期扫描已知漏洞。
2. 强制 OAuth 认证。 拒绝使用静态 API 密钥或无认证的 MCP 服务器。
3. 网络隔离。 MCP 服务器不应部署在与云元数据端点相同的网络中。
4. 版本锁定与代码审查。 将 MCP 服务器版本锁定到已知安全版本。
5. 更新 Claude Code。 CVE-2025-59536 和 CVE-2026-21852 已在 Claude Code 2.0.65+ 中修复。
常见问题
MCP服务器的SSRF漏洞有多严重？+
BlueRock Security扫描7000+公开MCP服务器发现36.7%存在SSRF漏洞，攻击者可利用这些漏洞获取云服务凭证和内部资源访问权限。
MCP服务器的身份认证状况如何？+
518台测试服务器中，214台（41%）完全没有身份认证。有认证的服务器中53%仅使用静态API密钥，仅8.5%使用OAuth。
60天内发生了多少CVE？+
2026年初60天内新增30+ CVE，包括CVSS 9.8和10.0的严重漏洞，涉及命令注入、路径遍历和SSRF等类型。
典型攻击场景有哪些？+
SSRF窃取云凭证（如AWS IAM密钥）、供应链投毒（恶意MCP服务器伪装合法工具）、命令注入（未验证输入导致任意代码执行）。
企业如何加固MCP安全？+
建立MCP服务器清单并定期审计、强制OAuth认证、网络隔离阻止云元数据访问、版本锁定、更新Claude Code至2.0.65+。
相关文章
AI 网关只告诉你请求去了哪，JetStream 回答它该不该发
JetStream Clearance 把零信任的信任边界从身份下移到单次动作：AI Blueprints 契约 + 参数级权限 + 序列检测，在 MCP 调用执行前逐动作授权。网关已成商品，授权引擎是下一个战场。
审查过的 MCP 工具在第四次调用开始背叛你：Deadbugz 的运行时门控投毒
Pillar Security 披露活跃 MCP 供应链活动 Deadbugz：恶意服务器伪装成文本格式化工具，前三次调用一切正常，第四次起改写返回的工具元数据，指示 agent 搜寻 SSH 密钥、AWS 凭证并隐藏行为。一次性审查被系统性绕过——工具描述是运行时安全边界，批准应发生在动作执行之时。
MCP 供应链攻击与 AI Agent 安全事件集中爆发——PraisonAI、Copilot、MCP 工具链漏洞
2026 年 7 月，多个 AI Agent 供应链安全事件集中爆发：PraisonAI API 未认证漏洞 (CVE-2026-44338)、三个 Copilot 信息泄露漏洞、以及 MCP 工具描述投毒攻击。AI Agent 供应链安全已成为企业最紧迫的治理挑战。
AI Agent 安全报告 2026：19.5% 的 CISO 已遭遇泄露，Prompt 注入仍是头号威胁
NeuralTrust 发布 2026 年 AI Agent 安全报告，覆盖 500+ 企业 CISO 调研。68% 的安全事件由 Prompt 注入引发，61% 涉及数据泄露，40% 的 CISO 预计单次事故损失在 $1M-10M 之间。