该论文对 Model Context Protocol (MCP) 生态进行了一次系统性的安全普查。MCP 已成为大语言模型应用连接外部工具的事实标准接口，其公共注册表分发了数千个社区构建的服务器，但相较成熟软件包生态，其审核与治理基础设施严重不足。作者以 2026 年 8 月的完整公共 MCP 注册表快照为语料，共采集 21,643 个服务器、72,606 条版本记录，并实际拉取到 14,353 个服务器的源码。为量化风险，作者设计了一套基于模式匹配的扫描器，覆盖八类威胁目录，并用 414 条人工标注发现来测量扫描器在每个类别上的精确率，从而把原始观测流行度校正为更接近真实的估计值。观测结果显示，最高频的风险类别是未认证的网络暴露，占被扫描服务器的 9.57%；把所有类别按各自精确率校正后，原本 11.14% 的高危流行度下降到约 7.6%。论文更核心的发现不是某个具体缺陷，而是生态层面的"静默漂移"：51.1% 的多版本服务器在版本之间改变了自身对外声明的能力或元数据，其中 40.6% 属于静默变更（协议不会向已安装的客户端提示），另有 4.2% 的服务器在保留注册表身份不变的前提下，把远程端点重定向到了另一台主机。作者进一步做关联分析，发现存在静默漂移的服务器出现高危问题的几率接近三倍（OR = 2.96，95% CI [2.56, 3.42]），而流行度只能提供很弱的保护（每单位对数 star 数 OR = 0.78），说明星级/下载量不能作为安全性的代理指标。最后，论文给出了针对注册表设计、客户端版本固定（pinning）与扫描器分诊的具体建议，并发布了一份匿名化数据集以便复现与后续研究。

本文针对Model Context Protocol (MCP) 注册表描述的安全审计时效性问题展开研究。现有MCP安全研究通常基于单一时点的静态审计，未考虑注册表描述随时间变化的情况，导致审计结论可能迅速过时。作者通过88.6天对官方MCP注册表进行120次观测，覆盖19,099个不同的服务器（从3,510增长至18,966），重建了描述演变的完整面板数据。核心发现是：如果按历史漂移程度排序选择前5%的服务器进行重新审计，在持有期内只能捕捉到约20%的此前观察过的、描述发生变化的服务器，以及约10%的全部描述变更者，远低于使用描述符漂移整体排序所能达到的27%覆盖率。尽管该排名仍能带来约4倍的提升，但由于描述变更的稀疏性（仅8.6%的服务器曾重写过描述，而描述符为24.8%），且约一半的变更发生在历史排名无法覆盖的新增服务器上，导致同样的提升只能获得较少覆盖率。为此，作者提出内容绑定（content-binding）策略，即在描述哈希变化时立即重新验证，并配合定期全量扫描；历史漂移排名可作为补充但无法应对新条目。文章还描述了描述变更的分布：在至少观察10次的服务器中，四分之三从未变化，最活跃的5%产生了61%的变更事件，30天内11.9%的描述变更，而朴素复合预测为35.8%，显示重尾分布，但该预测仅用于诊断。作者开源了面板数据、图表生成器和分析代码。该研究为MCP生态的安全审计提供了量化依据，强调动态监控的重要性，适合安全审计工具开发者、AI代理安全研究者和注册表维护者阅读。