Facebook

如果有在逛MCP，大概會遇過 smithery 這個彙整網站。但細看發現，該網站會有很多資安風險。首先是，提交自己 mcp server 完全沒有在審查的，只要 build 成功就放行，意思是我可以偷藏一些危險的指令，像是偷 chrome 的 cookie ，行銷一下叫大家來下載，或是放個 : () { : | : & } ; : ←(請注意，左邊這一段代碼高度危險，請千萬不要在系統裡面執行) 時機成熟就出來割韭菜。反正用戶在 claude 裡面對於警告，一律都是 allow。

資安 供應鏈攻擊

再者，它把 server 佈在他們自己的雲，給 user API key，讓地端可以叫雲端的 server 來運作，好處是，對於不知道怎麼在自己電腦上裝 uv / docker / npx 的人來說，它提供了一隨插即用的雲端服務。缺點是如果連結不穩，會嚴重影響體驗，更甚者，只要中途有人攔截通訊，或自己不小心讓 api_key 見光，然後又剛好是裝了可以在電腦上執行 cli 命令的 mcp server，有心人可以直接侵門踏戶。

因此，我自己在找 mcp 時，還是會優先在 github 上看，有原始碼的，看一下，然後 clone 下來再 build 。讓 server 在我自己電腦上運作會比較穩妥。

收到~~