一句话看懂：Google、JPMorgan、Weaviate、法国 DINUM 和印尼 Tangerang 市政府各自修复了 MCP 服务器中的同一类 SSRF 漏洞，全部由独立研究员 Syed Anas Mohiuddin 报告。它说明 MCP 的安全问题不是某家实现的疏忽，而是协议层面的系统性风险。
事件核心：发生了什么
MCP（模型上下文协议）是 AI Agent 调用工具和数据源的标准协议。Mohiuddin 本月发布的更新显示，他在五家机构的 MCP 服务器中报告了同一类服务端请求伪造（SSRF）漏洞：服务器接收 Agent 传入的 URL、路径或端点后，未校验地址实际解析到哪里就发起外部请求，攻击者因此可借 Agent 之手让服务器访问内网或云元数据地址。
具体案例包括：Google MCP Toolbox for Databases 的 HTTP 客户端缺少重定向策略和目标 IP 校验，CVE-2026-14540 被评为 8.0 高危，影响 0.3.0 至 1.4.0 版本，修复加入 DNS 重绑定防护和白/黑名单 IP 段；JPMorgan 文档检索 MCP 服务器中，一个工具检查域名白名单，另一个却可抓取任意 URL，该组件原是从 AWS 项目 fork 而来；Weaviate 收紧 Google 模块端点设置；法国 DINUM 的开放数据 MCP 服务器、以及 Tangerang 的 Wazuh MCP 服务器也分别修复。Rapid7 另修复了 Mohiuddin 发现的 CVE-2026-97228（GraphQL 注入，评级 2.7）。
为什么重要
Mohiuddin 今年 5 月就判断这是结构性问题：只要不同团队在无共享代码、无共享负责人的情况下独立开发 MCP 服务器，就会各自重复犯同样的错误。这次一个超大规模云厂商、一家银行和一国政府先后中招，等于把那个判断从推测变成了实证。
更值得警惕的是他提出的“协议转向”（protocol pivoting）攻击链：攻击者在 MCP 工具返回的内容里埋入形似 Google A2A 协议任务的文本，编排 Agent 把它交给子 Agent，子 Agent 因信任上游而执行。Rapid7 漏洞情报主管 Douglas McKee 对 Ars Technica 表示，链条上每个环节都在按设计正常工作，这正是难以察觉的原因；X41 D-Sec 的 Markus Vervier 则将其归类为间接提示注入。这意味着风险不局限于单一产品，而是随 Agent 之间互信调用扩散。
对用户/开发者/创作者的影响
对企业开发者和 MCP 服务器维护者，最直接的启示是：凡是让 Agent 传入 URL 或路径并据此发起请求的工具，都必须校验解析后的目标 IP、限制重定向、过滤云元数据地址，不能只做字面 IP 或域名白名单检查——Tangerang 的案例正是自称有 SSRF 防护却只拒绝字面 IP、不解析主机名。使用开源 MCP 组件的团队应回溯依赖来源，JPMorgan 的问题就出在从上游 fork 时丢掉了原有的安全前提。对普通用户而言，接入第三方 MCP 工具意味着把访问内部系统的能力部分交给了 Agent，目前公开信息显示多起漏洞涉及内网与云元数据可达性，选择工具时应关注供应商是否公开披露并修复此类问题。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 Mohiuddin 9 月 2 日私下报告的五家美国 GSA 技术转型服务 MCP 服务器（涉及退伍军人事务部福利申请、CMS Blue Button、regulations.gov、USASpending 和 CDC PLACES）仍处分级处理、尚未修复，其中退伍军人事务部服务器会未脱敏记录含姓名、社保号、出生日期和地址的完整错误响应，修复进度值得跟踪。二是日本数字厅授权服务器的无认证问题仍开放。三是 Mohiuddin 将于 10 月 23 日在圣何塞 MCPCon 北美站披露完整发现，届时协议层面是否形成统一的 SSRF 防护规范，是判断生态走向的关键观察点。
来源：The Next Web
