研究：AI 编码 Agent 仍在大量安装已弃用 MCP 服务器
2026/11/04 — 11/04 00:18·1 个来源（全部）·1 篇报道（全部）
核心速览 (Key Takeaways)
- 据 Glow Security 于 11 月 2 日发布的 MCPhantom 研究，AI 编码 Agent 会自行安装一年多前已归档的 MCP 服务器，在 98% 的此类会话中用户并未点名要求，而是模型凭记忆补全包名。
- DEV Community 作者随后用 npm 公共下载 API 核查了研究列出的 12 个已弃用 @modelcontextprotocol 包。
事件背景与详细解读
据 Glow Security 于 11 月 2 日发布的名为 MCPhantom 的研究，AI 编码 Agent 仍在安装一年多前已被归档的 MCP 服务器。研究称，在这类安装会话中，98% 的情况下用户并未点名要求该服务器，包名是由 Agent 根据模型自身记忆补全的。11 月 3 日，Help Net Security 对此作了报道。
11 月 4 日，DEV Community 的作者自行核查了该研究列出的 12 个已弃用的 @modelcontextprotocol 包，方法是调用 npm 公共下载 API 统计下载量。数据显示，在 10 月 27 日至 11 月 2 日的一周内，这 12 个包合计下载约 62 万次。作者同时指出，使用 npx -y 安装时只会打印警告并继续执行，弃用标记并没有阻止安装。
目前公开信息停留在这一步：已有一方研究与一次独立数据核查相互印证，暂无相关厂商对弃用包仍被大量安装的原因作出说明。
AI 综合 1 篇报道生成 · 更新于 2 天前
- 热度指数
- 25
- 全部来源
- 1
- 全部报道
- 1
- 首报
- 2 天前
这件事的报道 点标题看原文
据 Glow Security 于 11 月 2 日发布的 MCPhantom 研究，AI 编码 Agent 会自行安装一年多前已归档的 MCP 服务器，在 98% 的此类会话中用户并未点名要求，而是由模型凭记忆补全包名。DEV Community 作者随后用 npm 公共下载 API 核查了研究列出的 12 个已弃用 @modelcontextprotocol 包，它们在 10 月 27 日至 11 月 2 日一周内合计下载约 62 万次。作者指出 npx -y 只会打印警告并继续安装，弃用标记并未阻止使用。
说明 Agent 凭记忆装包会引入过期依赖，用编码 Agent 的人值得一看
DEV Community · AIAI 评分 61
同时在说的其他事
- 热度指数 840OpenAI 发布 Images 2.6，新增 GIF 与 SVG 输出15 个来源
- 热度指数 675OpenAI 披露 cyber 模型流水线自动修复近千处 Linux 内核提权漏洞11 个来源
- 热度指数 642发酵中腾讯混元 Hy4 新增电脑操作能力，Artificial Analysis 发文测评13 个来源
- 热度指数 633发酵中Claude Code 产品负责人 Cat Wu 加入 OpenAI9 个来源
- 热度指数 630新爆OpenAI 发布 GPT-6 Cyber 网络安全模型7 个来源
热度怎么算的？了解口径收起
热度按 48 小时内有多少个独立来源在说这件事算：同一个来源发多条只算一次，并按 24 小时半衰期衰减，所以排前面的是很多人在说的事。
本页汇总公开订阅源，标题与摘要由模型整理，版权归原作者所有；重要信息请回原文核对。如权利人认为相关标题或摘要侵权，请通过页尾联系邮箱提供具体页面与权利依据，我们核实后会及时删除或替换。
- 爆
- 讨论快速增加
- 新
- 首报 6 小时内
- 发酵中
- 讨论仍在增加