MCPセキュリティレポート：22,148 件のサーバーと 16,500 件のAgent Skillsの自動チェック結果

サンプルはランダムではありません。スキャナーはインデックス可能な一覧から品質の高い順に処理するため、ここに掲載されているサーバーはカタログの中でもメンテナンスされスターの多い側に偏っています。むしろ、GitHub 上のすべての MCP server の実態は、このページよりやや悪い傾向があります。

スキップされたチェックは失敗ではありません。レジストリ内のほとんどのサーバーは npm や PyPI パッケージを公開していないため、証明すべきビルドも、OSV で照会する依存関係ツリーも、人気パッケージと比較するパッケージ名もありません。そのため provenance の基準は 22,148 サーバーではなく 7,405 パッケージをカウントしており、多くのサーバーが 50 から 69 の間に位置するのは、スコアが 100 点中 60 点未満でカウントされることがないためです。

インジェクションパターンは意図的に単純です。説明文、README、ツールのテキストに含まれる ignore previous instructions、IMPORTANT タグ、do not tell the user などのフレーズや、人間には見えずモデルには見えるテキストを隠す Unicode 文字を検出します。マッチした 113 サーバーのうち 53（46.9%）は、名前や概要で自らをセキュリティツールと称しています。

たとえば vibe-shield は、検出するパターンの一覧に ignore previous instructions を記載しています。モデルはどちらにせよそのテキストを読むため、このようなサーバーはフラグを立てたままにしています。各リスティングのレポートには、何がマッチしたかが正確に表示されます。

エンドポイントにはそれぞれ 1 回の MCP initialize リクエストを送信します。サインインを求める応答は動作中とみなします。そのサーバーは OAuth やキーを要求しており、これは正常です。失敗のほとんどは、レジストリの登録が残ったままサーバーが移転または停止されたことによる HTTP 404 応答です。https://{tenant}.example.com/mcp のようなアカウントごとの URL は、誰もプローブできないため除外しています。

このいずれもコードを実行するものではありません。これは公開データのチェックであり、監査ではありません。クリーンなレポートは保証ではなく、ご自身でのレビューの出発点です。

各チェックの仕組み · MCP の状況、2026年11月 · MCP セキュリティガイド