67个MCP服务器实测：7个启动即访问未声明网站

AI 生成的事件示意图，不代表新闻现场照片。事实来源：Brydge AI 原始测量页（来源）

一场只装不用的测量

据 Hacker News AI 板块 2026 年 11 月 2 日 11 时 30 分转载的测量页，Brydge AI 在 10 月 31 日至 11 月 2 日之间，把 67 个 MCP 服务器逐个装进一台没有外网路由的沙箱机器：只凭包名安装，不给任何真实凭证，启动后向它发一次 tools/list 请求，再把答案逐条对照随包发布的 README。67 个包全部启动成功，1,143 个工具被列出，但全程没有一个工具被真正调用。

拦截方式写得直白：沙箱内每个域名都被解析到回环地址，任何外联请求都无法完成——连接的"名字"被记录下来，内容一个字节也出不去。

7 个服务器拨向 README 之外的地址

结果分三层。7 个服务器在尚未使用任何工具的启动阶段，就尝试访问自家 README 未提及的网站；24 个服务器提供的工具没有写进 README；两项都沾的有 2 个。剩下 38 个一无所获，但测量页特意标注"空行不等于干净"——工具少、不外联的服务器，本来就没多少可供对照的东西。

对照组里有熟面孔：微软的 @playwright/mcp 提供 25 个工具，未声明项一栏写着 none；MCP 官方仓库的 @modelcontextprotocol/server-memory 提供 9 个工具，同样是 none。

另有 29 个服务器的报告已被测出、暂缓发布。页面说明，每条发现都要人工复核后才会上线，包维护者可发邮件至 contact@brydge-ai.com 询问自己是否在列。

AI 生成的数据关系示意图，依据文中测量结果绘制，并非新闻现场照片（来源）

方法先亮出来，再谈结论

这份测量给自己画了明确的边界：判定"未声明"只看包内自带的 README；网站必须被 README 点名才算声明，工具名必须以完整词出现才算记载。一个把工具写在旁边参考文档里的服务器，会整栏显示为未记载——67 个中有 10 个的 README 不足 3KB。页面同时声明，这套 Level 1 测量未经校准背书，只跑了一次，按包名字母排序而非下载量，不构成排名。

证据没有停在结论上：每个包对应 level1/evidence/ 目录里的一个 JSON，完整 trace、工具清单、README 摘要、被查无此名的字符串都在其中，任何人可以复核。

AI 生成的测量边界示意图：核对 README 与启动行为，不等同于安全认证（来源）

启动即外联，为什么重要

7 个外联未必是恶意——可能是遥测，可能是更新检查，也可能是一行没人清理的旧代码。但趋势是确定的：MCP 服务器正在从被动工具变成常驻进程，替人连网、替人记账、替人动鼠标。每一次启动，都是这个进程的第一次伸手，而 README 往往还停留在它上一版的自己。

另一半问题更实际：用户为什么需要读一条 trace，才能知道工具在启动时做了什么？把行为写进 README 成本几乎为零，缺的只是把这一页纸当成产品界面来对待。

README 是承诺，启动行为是事实。信任要建立在事实那一栏上。