1730 万次下载的幽灵包，你中招了吗？AI 编程助手瞎编的 MCP 包名，可能正被陌生人抢注后在你电脑上跑代码

大白话简单说，AI 编程助手有时会「脑补」出一个 MCP 服务器，写进配置里让你用 npx 去装。问题是这个包在 npm 或 PyPI 上压根不存在，或者早就被归档了。普通依赖写错，下次装包时才出事；但 MCP 服务器是每次启动助手都会跑一遍，等于留了个随时能被别人抢注接管的入口，还没有任何确认弹窗。作者所在的团队给自家审计工具加了个检查：去注册表查这个包到底存不存在，只认明确的 404。

对你意味着只要你在用 Cursor、Claude Code 这类带 MCP 的编程助手，配置里就可能躺着这种「幽灵包」。建议把 MCP 配置里的包名挨个查一遍。