MCP 结构缺陷：5 家机构确认
独立安全研究员 Syed Anas Mohiuddin 更新其「协议转向（Protocol Pivoting）」研究：5 月他报告 MCP 服务器存在服务端请求伪造（SSRF），当时只有一个例子，其余是推论；四个月里同一处错误在五个互不相关的组织被各自确认并修复——Google、摩根大通、Weaviate、法国部际数字化总署、印尼 Tangerang 市政府。
机理是协议层面的信任传递：MCP 服务器为每个智能体保存凭证，而智能体默认信任网络内的其它智能体，于是 LLM 侧本会拒绝的指令能被接力执行下去。Google 那一例风险评分 8，出在 googleapis/mcp-toolbox 的 HTTP 客户端既没设重定向策略也不校验目标 IP，构造路径参数就能让它替攻击者请求内网端点。Rapid7 另有一例 CVE-2026-97228，是其 MCP 导出组件的 GraphQL 注入，评分 2.7，上月已修。
Rapid7 漏洞情报负责人 Douglas McKee 对 Ars 的比喻被研究者引用：每个协议都假设自己独占一地，各自守好自家前门，没人看着中间的走廊。这条的价值不在某个具体 CVE，而在于「同一类错误在毫无共同点的组织里重复出现」本身就是结构性的证据。
核验记录
一手是研究者自己的更新页 https://anas-security-portfolio.vercel.app/protocol-pivoting-update.html（直读 200、24,599 字节，正文自述 5 家机构确认；页内**只写「update October 2026」，无具体日期字段与 meta 发布时间**）。定日取 Ars Technica 报道的发稿戳 2026-10-05 18:26 美东 = **2026-10-06 06:26 北京**（Dan Goodin）。CVE-2026-97228 在 Rapid7 漏洞库页 rapid7.com/db/vulnerabilities/cve-2026-97228/ 直读 200 确认（GraphQL 注入、export_id 未校验、RabbitMQ/GraphQL 描述与 Ars 一致）。**未逐家读 Google／摩根大通／Weaviate／法国／印尼五方的官方修复公告**，「各自确认并修复」按研究者自述与 Ars 转述写；Google 侧评分 8、Rapid7 侧 2.7 亦为转述值。本条无厂商官方公告页（属研究者披露 + 媒体覆盖），按 R21 降级链定日并在本条写明。