Khi thêm một máy chủ MCP vào agent, bạn chọn nó theo tên. Tên là thứ bạn đọc, là thứ đồng nghiệp giới thiệu và là thứ đội bảo mật đã phê duyệt. Còn mã mà agent thực sự chạy là bất cứ thứ gì cái tên đó đang trỏ tới vào hôm nay.
Chúng tôi gọi đó là Listing Swap (tráo danh mục) khi thứ nằm dưới cái tên thay đổi: phiên bản hiện tại của một máy chủ trong registry MCP chính thức dẫn đến một tên miền remote endpoint khác, hoặc một chủ sở hữu gói khác, so với phiên bản đầu tiên được phát hành dưới cùng tên đó.
1.075 máy chủ trong registry MCP chính thức nay trỏ đến một tên miền hoặc chủ sở hữu gói khác so với lúc được phát hành lần đầu. 698 máy chủ trong số đó giữ nguyên hoàn toàn tiêu đề và mô tả.
Chúng tôi đã đo những gì
Ngày 10 tháng 10, 2026, chúng tôi tải xuống toàn bộ mục trong registry chính thức (142.002 phiên bản của 41.351 máy chủ) và so sánh phiên bản hiện tại của mỗi máy chủ với phiên bản đầu tiên được phát hành dưới tên của nó. Chúng tôi chỉ tính là tráo danh mục khi chủ sở hữu thay đổi, không tính trường hợp máy chủ chỉ chuyển sang đường dẫn, phiên bản hoặc tên miền con mới.
| Chỉ số | Máy chủ |
|---|---|
| Máy chủ trong registry | 41,351 |
| Máy chủ có nhiều hơn một phiên bản | 17,989 |
| Số vụ tráo danh mục | 1,075 (6,0% số máy chủ có lịch sử phiên bản) |
| Gói nay do một chủ sở hữu khác phát hành | 652 |
| Remote endpoint chuyển sang tên miền khác | 377 |
| Chuyển đổi giữa gói cục bộ và remote endpoint | 47 |
| Bị tráo nhưng giữ nguyên tiêu đề và mô tả | 698 (65%) |
Vì sao quan trọng
Chúng tôi không nói các máy chủ này độc hại. Phần lớn các vụ tráo có lẽ là chuyện bình thường: một dự án đổi thương hiệu, chuyển nơi lưu trữ, hoặc giao gói cho người bảo trì mới. Vấn đề là một vụ chiếm quyền trông giống hệt như vậy, và hiện nay không ai nhận ra cả hai trường hợp.
- Registry kiểm tra tên, không kiểm tra đích đến. Phát hành dưới một namespace chứng minh bạn kiểm soát namespace đó. Không có gì so sánh nơi phiên bản 2 trỏ tới với nơi phiên bản 1 từng trỏ tới.
- Client tin vào cái tên. Cài đặt từ registry sẽ phân giải tên thành phiên bản mới nhất. Một lần phê duyệt sẽ không được hỏi lại khi endpoint hoặc chủ sở hữu gói thay đổi.
- Mục danh mục trông vẫn như cũ. Trong hai phần ba số vụ tráo, tiêu đề và mô tả không thay đổi, nên người xem xét mục danh mục không thấy gì mới.
Vấn đề này nằm cao hơn một tầng so với kiểu “rug pull” ở định nghĩa công cụ mà Invariant Labs mô tả năm 2025, trong đó máy chủ thay đổi mô tả công cụ sau khi bạn đã phê duyệt. Một vụ tráo danh mục không cần máy chủ thay đổi gì về chính nó: cái tên giờ dẫn đến mã khác, do người khác vận hành.
Một ví dụ vô hại
Hãy hình dung một máy chủ thời tiết, io.example/weather, được phát hành kèm một gói thuộc scope @example trên npm. Nhóm của bạn phê duyệt nó. Một tháng sau, phiên bản 1.3 được phát hành dưới cùng tên, cùng mô tả, nhưng gói giờ đến từ một scope khác do một người khác quản lý. Agent của bạn nhận phiên bản 1.3 ở lần cài đặt tiếp theo. Client không báo cho bạn biết người phát hành mã đã thay đổi, và nếu gói mới đọc tệp hoặc gửi dữ liệu đến nơi mới, nó làm vậy với những quyền bạn đã cấp cho gói cũ.
Cần làm gì
Nếu bạn cài đặt máy chủ MCP
- Ghim phiên bản, và nếu registry hỗ trợ, ghim cả hash của gói hoặc digest của image.
- Coi việc thay đổi tên miền endpoint hoặc chủ sở hữu gói là một máy chủ mới, và xem xét lại.
- Kiểm tra trước khi cài đặt. Hỏi ChatGPT hoặc Claude có kết nối Redthread connector: “kiểm tra xem máy chủ MCP này đã vượt qua bản quét của Redthread chưa”, hoặc xác minh huy hiệu bằng công cụ mã nguồn mở
atpp verify. - Kiểm tra những gì bạn đã cài:
python3 atpp.py check-configđọc cấu hình Claude, Cursor hoặc VS Code ngay trên máy bạn và gắn cờ mọi máy chủ có listing đã bị tráo (cách).
Nếu bạn phát hành máy chủ
- Nếu bạn chuyển nơi lưu trữ hoặc bàn giao gói, hãy nêu rõ trong mục danh mục và trong repository, để người dùng có lý do tin vào đích đến mới.
- Công bố hash của gói và ghim image theo digest; một artifact có chữ ký cho người dùng thứ để đối chiếu.
Nếu bạn vận hành registry hoặc client
- Hiển thị đích đến bên cạnh tên, và hiển thị những gì đã thay đổi giữa các phiên bản.
- Hỏi lại khi tên miền endpoint hoặc chủ sở hữu gói của máy chủ thay đổi, giống như điện thoại hỏi lại khi một ứng dụng muốn có quyền mới.
Bước kiểm tra này miễn phí
Từ hôm nay, bản quét registry hằng ngày của Redthread có thêm bước kiểm tra target-stable . Kết quả quét có chữ ký và huy hiệu của mỗi máy chủ giờ cho biết mục danh mục của nó đã bị tráo kể từ lần phát hành đầu tiên hay chưa, và số liệu được cập nhật hằng ngày trên trang quét registry. Bước kiểm tra này cũng có trong ChatGPT và Claude thông qua Redthread connector.
Nếu nhóm của bạn vận hành agent cài đặt máy chủ MCP của bên thứ ba và bạn muốn có một allow-list cảnh báo khi một máy chủ đã phê duyệt bị tráo, hãy liên hệ chúng tôi.