事件经过
TrendAI对四个主要MCP目录中的超过90,000个唯一GitHub URL进行了健康检查，发现约8%已失效，其中超过900个指向已删除的GitHub账户，攻击者只需重新注册即可——无需漏洞利用或恶意软件。超过80个可劫持条目以用户搜索的知名服务（AWS、MySQL、PayPal、Shopify、Telegram、OpenAI、Gemini）命名，超过四分之一的劫持面来自前10个可认领账户。这些目录不常规验证链接健康度、检测命名空间变更或验证代码完整性，随着AI代理越来越多地自主安装MCP服务器，这使攻击从欺骗用户转变为欺骗代理。
影响分析
这是一种针对代理式AI栈的自我传播式供应链风险：单个重新注册的GitHub账户可以成为AI代理自动连接的受信任工具，然后向代理的上下文中注入指令或暴露操作系统/用户凭证（SSH密钥、.env、AWS凭证）和OAuth令牌。由于MCP服务器位于LLM之后，一个被劫持的服务器可以在无需传统漏洞利用代码的情况下成为跨服务攻击，这与NSA AI安全中心关于MCP设计缺陷的公告一致。
攻击途径
一个列出的MCP服务器链接到一个已删除的GitHub账户；攻击者重新注册该确切用户名并重新发布一个分支，继承了所有仍指向它的目录条目的信任和可见性。当AI代理（将README解析为上下文，匹配名称/描述，可能不记得前所有者）安装/连接该服务器时，攻击者注入的指令或工具将运行——实现提示注入、代理环境中的任意代码执行，以及通过其背后的LLM进行跨服务工具滥用。
受影响系统
MCP服务器目录（社区列表）及其引用的MCP服务器；无特定软件版本——注册表/平台供应链风险。
缓解措施
无补丁（这不是单个软件包中的漏洞）。目录运营者和CI策略应验证链接健康度、检测命名空间变更、验证所列URL的代码完整性，并将MCP服务器固定到不可变的提交/引用（如git SHA）而非可变的账户名；AI代理安装程序应要求明确的人工批准，并在连接前验证所有权/声誉。