MCP-Sicherheitsbericht: Wie 22.148 Server und 16.500 Agent Skills bei automatisierten Checks abschneiden
Wir führen dieselben Checks für jeden gelisteten MCP server und Agent Skill aus, und diese Seite zählt die Ergebnisse. Sie aktualisiert sich täglich aus dem neuesten Bericht jedes Eintrags. Die Zahlen darfst du mit einem Link frei weiterverwenden.
Server-Checks
Bestanden, von Servern, bei denen der Check griffVerteilung der Scores
5.676 Server (25,6 %) erreichen 100. 12.960 liegen zwischen 50 und 69, die meisten davon, weil es kein Paket oder keinen Endpunkt zum Prüfen gab, nicht weil etwas fehlgeschlagen ist.
Remote-Endpunkte, 7.220 geprüft
- Antwortet auf initialize, offen
- 3.686
- Antwortet, Anmeldung erforderlich
- 2.993
- HTTP 404
- 137
- Nicht erreichbar
- 79
- HTTP 530
- 67
- HTTP 503
- 51
- HTTP 402
- 39
- Zeitüberschreitung
- 31
Agent Skills, 16.500 gescannt
Durchschnittlicher Score nach Kategorie
Primäre Kategorie, 50 oder mehr gescannte Server| Kategorie | Server | Durchschnittlicher Score |
|---|---|---|
| Filesystem & OS | 51 | 72,0 |
| Memory & Vector Stores | 290 | 72,4 |
| CRM & Marketing | 469 | 72,9 |
| Databases | 301 | 73,3 |
| Media & Content | 278 | 73,3 |
| Workflow Automation | 3.485 | 73,7 |
| Search & Web Data | 1.611 | 74,1 |
| Project Management | 213 | 74,2 |
| Productivity & Office | 3.129 | 74,3 |
| Monitoring & Observability | 110 | 74,5 |
| Design | 321 | 74,6 |
| AI & LLM Tools | 665 | 74,7 |
| Communication | 509 | 74,8 |
| DevOps & Infrastructure | 561 | 74,8 |
| Docs & Knowledge | 578 | 74,8 |
| Commerce & Payments | 242 | 74,9 |
| Developer Tools | 5.459 | 75,5 |
| Finance & Market Data | 1.558 | 76,0 |
| Browser Automation | 404 | 76,4 |
| Science & Research | 405 | 76,7 |
| Cloud Platforms | 169 | 77,1 |
| Security | 1.245 | 77,9 |
Was die Zahlen sagen, und was nicht
Die Stichprobe ist nicht zufällig. Unser Scanner arbeitet zuerst die indexierbaren Listings ab, beste Qualität zuerst, deshalb tendieren die Server hier zum gepflegten, mit Stars versehenen Ende des Katalogs. Wenn überhaupt, ist das echte Bild über alle MCP server auf GitHub etwas schlechter als diese Seite.
Ein übersprungener Check ist kein fehlgeschlagener. Die meisten Server im Registry veröffentlichen kein npm- oder PyPI-Paket, also gibt es keinen Build zu belegen, keinen Dependency-Tree in OSV nachzuschlagen und keinen Paketnamen mit populären zu vergleichen. Darum zählt die Provenance-Leiste 7.405 Pakete und nicht 22.148 Server, und darum landen so viele Server zwischen 50 und 69: Die Bewertung rechnet nie mit weniger als 60 ihrer 100 Punkte.
Das Injection-Muster ist bewusst grob. Es sucht nach Formulierungen wie ignore previous instructions, einem IMPORTANT-Tag oder do not tell the user in der Beschreibung, dem README und dem Tool-Text, dazu nach Unicode-Zeichen, die Text vor Menschen, aber nicht vor dem Modell verbergen. Von den 113 Servern, die es gefunden hat, bezeichnen sich 53 (46,9 %) in Name oder Zusammenfassung selbst als Security-Tools.
vibe-shield führt zum Beispiel ignore previous instructions in der Tabelle der Muster auf, die es erkennt. Wir lassen solche Server markiert, weil das Modell diesen Text ohnehin liest, und der Report jedes Listings zeigt genau, was gefunden wurde.
Jeder Endpoint bekommt eine MCP initialize-Anfrage. Eine Anmeldeantwort zählt als funktionierend: Dieser Server will OAuth oder einen Key, was normal ist. Die meisten Fehlschläge sind HTTP 404-Antworten von Servern, die umgezogen oder abgeschaltet wurden, während ihr Registry-Eintrag stehen blieb. Pro-Account-URLs wie https://{tenant}.example.com/mcp lassen wir aus, die kann niemand prüfen.
Nichts davon führt den Code aus. Das sind Prüfungen öffentlicher Daten, kein Audit, und ein sauberer Report ist ein Ausgangspunkt für deine eigene Prüfung, keine Garantie.
Wie jeder Check funktioniert · State of MCP, November 2026 · MCP-Security-Guide