夜幕AI MCP安全现状报告

NIGHTFALL AI观察到88.9M个MCP事件，识别出608个不同的MCP数据包。研究发现，约70%的组织运行至少1个不受支持的MCP服务器，三分之二的已观察软件包没有经过验证的发布者，每五家组织中有一家通过未经验证的中间商转接官方MCP流量，超过50%的组织在MCP配置文件中暴露了凭证。

报告指出，安全模式难以维持的根本原因是架构层面的差距。传统DLP通过模式匹配人类手势进行监控，而AI代理以机器速度在系统间传输数据，无需人为启动每一步，导致数据传输发生在控制系统监控之外。AI代理可以访问源代码、凭证、生产数据库、云基础设施等，其中大部分活动发生在监控人类驱动数据流动的控制系统之外。

研究发现，近半数组织存在浏览器自动化服务器，约40%使用了Chrome DevTools，35%安装了Docker的MCP插件，30%部署了调试器服务器，25%则运行了容器化的GitHub服务器。这些交互大多发生在本地，流量可能从未经过网关或代理。近50%的组织在MCP配置文件中暴露了凭证，而环境变量间接引用仅出现在不到十分之一的带凭证配置中。

报告还发现，代理通常会处理不受信任的内容，如网页、存储库内容、文档、电子邮件和工具响应，其中任何一种都可能包含指令。通过一个工具响应到达的有效载荷可以影响代理从另一个连接的系统读取、暴露凭证或执行未经授权的操作。易受攻击的组件和敏感资源不必共享一个信任域。

研究数据显示，约75%的组织连接到GitHub Copilot API，65%连接到Figma，60%连接到Docker和GitLab等远程MCP端点。这些连接的广度至关重要，MCP已逐渐成为组织存储源代码、凭证、内部知识、运营遥测数据、客户数据及业务记录的系统访问层。

报告还指出，不受支持的MCP软件已存在于生产环境中，如@modelcontextprotocol/server-postgres最后一次发布于2024年12月并被标记为“不再受支持”，在约25%的组织中存在。此外，约45%的组织使用@modelcontextprotocol/server-github，25%使用@modelcontextprotocol/server-slack，15%使用@modelcontextprotocol/server-gdrive等。

MCP客户端生态系统远超最常用的受管IDE，包括Codex、Zed、ChatGPT、cmux、PyCharm、IntelliJ IDEA、WebStorm等。约40%的组织使用Codex，35%使用Zed、ChatGPT和cmux，而几家JetBrains客户出现在约20%–25%。

报告最后提出了11项控制要求，包括发现本地服务器、审核并锁定、集中强制执行白名单、就地检查MCP配置文件、运行时instrumentation等。Nightfall AI的解决方案可以覆盖终端、代理运行时、网络、身份层、管理平面和软件供应链，实现全领域的盲点覆盖。