事件经过
研究人员（arXiv 2610.22301，“我的凭证，请”，2026-10-15）将“文件系统能力清洗”形式化：攻击者操纵的参数导致MCP工具访问其声明范围之外的主机敏感文件。对九个注册表中21,097个MCP服务器的扫描标记了787个（16.4%）具有文件系统能力但非文件系统分类的实例；动态验证确认了150个易受攻击实例，协调披露产生了13份公告，包括Anthropic自家Git MCP服务器中的两个CVE（例如CVE-2026-27735）。
影响分析
这是最广泛采用的代理工具协议中整个生态系统的授权盲点。它表明MCP按工具审批提示并不能限制底层服务器进程的文件系统访问范围，因此指向第三方MCP服务器的代理可以静默读取主机凭证——这是数千个已部署服务器导致开发者机器受损的低门槛途径。
攻击途径
“文件系统能力清洗”是一类攻击，攻击者操纵的工具参数（例如带有../路径遍历的git_add路径）使表面良性的MCP工具读取其声明契约和部署范围之外的主机文件。客户端审批门控基于声明的参数执行，但生成的服务器进程以环境主机文件系统权限运行，因此超出范围的凭证通过普通工具输出泄漏。
受影响系统
模型上下文协议（MCP）服务器 — 权限模型为本地stdio服务器以环境主机文件系统权限运行；包括Anthropic的Git MCP服务器（mcp-server-git < 2026.1.14）
缓解措施
对于具体修复的Anthropic Git MCP服务器案例，请将mcp-server-git升级至2026.1.14或更高版本（CVE-2026-27735）。防御方面，将任何接受路径的MCP工具视为攻击者可控，并对第三方MCP服务器进行沙箱化/加固，而不是信任声明的契约。