热点事件持续更新
MCP 服务器认证前应隐藏工具列表
1 篇报道1 个报道来源8 小时前更新
先了解这件事
AI 综述
2026 年 10 月 12 日，一篇威胁模型分析提出，MCP 规范默认任何客户端连上服务器即可通过 tools/list 拿到全部工具清单，建议改为认证通过后才暴露工具列表，理由是工具名可能泄露后端 schema，或被攻击者用来侦察攻击面。报道称该方案已在托管 MCP 平台 Shredly 落地：服务器加密存储上游密钥，调用方先通过 Shredly key 完成认证，再注入上游密钥。作者列出的门禁场景还包括 HIPAA、SOC 2 合规要求，以及涉及高危权限的工具。目前这仍是作者的主张，是否进入 MCP 规范本身尚未见报道。
AI 根据报道生成 · 6 小时前更新
最新进展10月12日 04:09
威胁模型分析主张 MCP 认证后再暴露 tools/list，该方案已在托管平台 Shredly 落地。报道时间线
沿着报道，了解事件的不同侧面。
10月12日
- AGI HuntMCP 服务器该不该在认证前隐藏工具列表？一份威胁模型分析
MCP 规范默认任何客户端连上即可用 tools/list 拿到全部工具清单，作者主张改为认证后才暴露，以免工具名泄露后端 schema 或被用于侦察攻击面。该方案已在托管 MCP 平台 Shredly 落地：服务器加密存储上游密钥，调用方先通过 Shredly key 认证，再注入上游密钥。作者列出的门禁场景还包括 HIPAA、SOC 2 合规与高危权限工具。
本事件热度走势
当前热度 8·可比范围峰值 10（10月12日 06:00）·近 24 小时可比范围变化 –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。