Rapport indépendant sur la fiabilité du serveur MCP et les conclusions en matière de sécurité
Le premier rapport indépendant sur la sécurité et la fiabilité des serveurs MCP a été publié, analysant les données de 2 181 points de terminaison de serveurs MCP distants. Le rapport couvre les métriques de fiabilité, de sécurité et de maintenance recueillies grâce à la surveillance des points de terminaison accessibles publiquement.
Principales conclusions de l'analyse
- 52 % des points de terminaison de serveurs MCP distants sont inactifs
- 300 serveurs n'ont aucune authentification, ce qui signifie que n'importe quel agent peut se connecter
- 51 % ont des configurations CORS (Cross-Origin Resource Sharing) largement ouvertes
- La catégorie finance obtient le score de confiance le plus bas malgré la gestion de données sensibles
- Seulement 42 % des serveurs avec des dépôts GitHub ont effectué des commits de code au cours des 30 derniers jours
Ressources disponibles
Le rapport complet avec une méthodologie détaillée est disponible sur yellowmcp.com/report. Les développeurs peuvent tester leurs propres serveurs MCP en utilisant l'outil sur yellowmcp.com/test.
📖 Read the full source: r/ClaudeAI
👀 See Also
Configuration d'OpenClaw pour l'Inférence LLM Chiffrée à l'Aide d'Enclaves TEE
Un développeur explique comment il a configuré OpenClaw pour utiliser les environnements d'exécution de confiance AMD SEV-SNP d'Onera afin d'effectuer des inférences de LLM chiffrées de bout en bout, incluant des exemples de configuration et les compromis techniques.
Exploration des risques liés à l'utilisation d'un compte Google avec Gemini-Cli et l'abonnement Gemini Pro
Gemini-Cli et votre abonnement Gemini Pro pourraient présenter certains risques pour votre compte Google. Voici ce que vous devez savoir sur les vulnérabilités potentielles lors de l'utilisation de ces outils d'IA.
Piratage du chiffrement de la médiation AppLovin : l'empreinte numérique des appareils contourne l'ATT
Le reverse engineering a révélé que le chiffrement personnalisé d'AppLovin utilise un sel constant + une clé SDK, un PRNG SplitMix64, et aucune authentification. Les requêtes déchiffrées transportent environ 50 champs sur l'appareil (modèle matériel, taille d'écran, locale, heure de démarrage, etc.) même lorsque ATT est refusé, permettant une ré-identification déterministe entre applications.
Incidents de suppression de production par agents IA : Le schéma et la solution
Les incidents de suppression en production provenant de PocketOS, Replit et Cursor partagent un schéma d'accès commun. Correctif : les agents n'obtiennent pas d'identifiants de production ; toutes les modifications passent par CI/CD avec une passerelle de notation de politique.