研究：AI 編碼 Agent 仍在大量安裝已棄用 MCP 伺服器

據 Glow Security 於 11 月 2 日釋出的名為 MCPhantom 的研究，AI 編碼 Agent 仍在安裝一年多前已被歸檔的 MCP 伺服器。研究稱，在這類安裝會話中，98% 的情況下使用者並未點名要求該伺服器，包名是由 Agent 根據模型自身記憶補全的。11 月 3 日，Help Net Security 對此作了報道。

11 月 4 日，DEV Community 的作者自行核查了該研究列出的 12 個已棄用的 @modelcontextprotocol 包，方法是呼叫 npm 公共下載 API 統計下載量。資料顯示，在 10 月 27 日至 11 月 2 日的一週內，這 12 個包合計下載約 62 萬次。作者同時指出，使用 npx -y 安裝時只會列印警告並繼續執行，棄用標記並沒有阻止安裝。

目前公開資訊停留在這一步：已有一方研究與一次獨立資料核查相互印證，暫無相關廠商對棄用包仍被大量安裝的原因作出說明。