5832 servere. Det er 60 prosent av de 9695 MCP-serverne Trend Micro gikk gjennom hos GitHub, Glama, Lobehub og PulseMCP mellom november 2025 og mars 2026, og alle hadde en eller annen sikkerhetssvakhet. Trekker du fra dem som bare manglet autentisering, står 2259 servere igjen med til sammen 4982 sårbarheter eller direkte ondsinnet oppførsel.
Mest interessant er hva som ikke forutsier risiko. Trend Micro sammenliknet servere med minst 50 GitHub-stjerner mot servere med 1 til 9, og fant ingen meningsfull forskjell i gjennomsnittlig antall problemer per server. Det samme gjaldt utviklingstakt: prosjekter med over 100 commits lå på linje med dem som hadde 10 til 49. Registrenes verifiseringsbadge, som skal bety kodegjennomgang og identitetssjekk, ga heller ikke utslag.
Feilene fordeler seg derimot ulikt. Populære servere har oftere sårbarheter med bred rekkevidde, som SSRF og vilkårlig filtilgang, mens de minst brukte oftere har kommandoinjeksjon fordi ingen har lest koden. Hos én utvikler av krypto- og DeFi-verktøy fant Trend Micro både server-side template injection og prompt injection. I servere ment for bedrifters økonomi- og HR-systemer fant de SQL-injeksjon, og servere som ga tilgang til Active Directory uten autentisering. En MCP-server arver agentens rettigheter til terminal, database og filsystem.
Hva bør du gjøre?
- Behandle enhver MCP-server fra et register som ukjent tredjepartskode, og revider den før du kobler den til en agent med skrivetilgang.
- Ignorer stjerner og verifiseringsbadge som sikkerhetssignal. Trend Micro fant ingen sammenheng mellom dem og antall problemer.
- Overvåk kallene mellom agent og server mot en normalbaseline, slik at et værvarsel-verktøy som plutselig leser filer blir stoppet før kallet går gjennom.