你随手装的 AI 工具，可能自带一堆漏洞！装 MCP 服务器前先看这个数：npm 一半带漏洞，PyPI 九成查不到

大白话MCP 服务器就是给 AI 助手接外部工具的那类小服务，现在很多人随手从 npm 或 PyPI 装。有开发者把目录里 4.8 万多个条目挨个解析依赖树，再对照公开漏洞库。结果 npm 那边能查到的 1.1 万多个里，约一半至少有一个安全公告，而且几乎全是 high 级；PyPI 那边 92.5% 查不到任何结果。作者自己也强调：这不代表服务器真能被攻破，只是依赖里某个包被点名了。

对你意味着如果你在给 Claude、Cursor 之类的工具装 MCP 服务，装之前跑一遍 audit 不吃亏；但别把这张表当成语言优劣排名。