复制粘贴一段配置，等于把 shell 权限送出去！官方示例只拿 92 分？免费神器给 MCP 配置打分，粘贴即测安全漏洞
有开发者做了个纯浏览器运行的 MCP 配置安全评分器，15 项检查满分 100，结果连官方 README 示例都因版本没锁被扣 8 分。
大白话MCP 是让 AI 助手连外部工具的那套配置。很多人直接从 README 或群里复制一段配置粘进客户端，但这段配置可能允许服务器跑 shell 命令、读文件、花你的 API Key。这位开发者做了个网页工具，把配置粘进去，它按 15 条规则扣分，给出 0 到 100 的安全分，规则和权重全公开。官方示例因为用 npx/uvx 跑 latest 版本没锁版本号，被扣了 8 分；GitHub 官方远程配置拿了满分。
对你意味着只要你用过 Claude Desktop 之类工具装过 MCP 服务器，就值得先测一下手里的配置，尤其是从别人那抄来的。
开发者自述与自测结果，评分规则由作者自行制定，非官方安全标准
原文：I Built a Free Safety Grader for MCP Configs — Then Graded the Official Examples
打开巨象雷达，看今天全部 AI 动态