42.163 MCP sunucusunun sayımı, para taşıyabilen binlerce aracın açıkta olduğunu ortaya koydu

Model Context Protocol ekosisteminin kamuya açık kısmına ilişkin, dev.to'da bir yazı olarak yayımlanan bir sayım, binlerce MCP sunucusunun para taşıyabilen araçlar sunduğunu ve bunların önemli bir bölümünün kimlik bilgilerini aynı güven sınırı içinde ele aldığını bildiriyor; bu da başarılı bir prompt injection'ın salt bir veri sızıntısıyla değil, yetkisiz harcamayla sonuçlanabileceği anlamına geliyor.

Sayımın buldukları

Yazıya göre yazar, 12 Ekim 2026'da kamuya açık MCP ekosisteminin SHA-256 hash'lerle sabitlenmiş bir anlık görüntüsünü dondurmuş; bu görüntü 42.163 sunucuyu ve 229.539 araç parametre şemasını kapsıyor. Bildirilen her rakamın, CC0 lisansıyla yayımlanan bir tarama betiği kullanılarak dondurulmuş dışa aktarımlardan yeniden hesaplanabileceği belirtiliyor.

Öne çıkan rakamlar çarpıcı. Yaklaşık 3.456 sunucu bir tür fon hareketi yüzeyi sunuyor ve bunların 1.301'inde yazarın "yazma polaritesi" olduğunu söylediği araçlar var — yalnızca bakiyeleri veya işlem geçmişini okumak yerine gerçekten para başlatabilen ya da aktarabilen araçlar. Ayrıca 2.663 sunucu hem parayı hem de kimlik bilgilerini tek bir güven sınırı içinde ele alıyor; yazar bunu en tehlikeli kombinasyon olarak öne çıkarıyor: bu sunuculardan birine isabet eden bir prompt injection yalnızca veriyi değil, ödeme yetkilendirme yeteneğini de açığa çıkarıyor. Ödemelerin ötesinde, 9.761 sunucunun araç parametrelerinde hesap kimliği verilerine dokunuyor.

Yanında ne yayımlanıyor

Yazı, bulguları kullanılabilir kılmak amacıyla üç açık yapıtla eşleştirilmiş. İlki, her etiketin bir kanıt zinciri taşıması gereken bir risk gazetieri şeması: dondurulmuş bir parametre yolu ve o etiketi üreten kelime dağarcığı kuralına bir referans. Etiketlenmemiş iddialar tasarım gereği hariç tutuluyor; doğrulanabilir kanıtı olmayan bir risk değerlendirmesinin bir güvence değil, bir yük olduğu gerekçesiyle.

İkincisi, imzalı bir makbuz biçimi. RFC 8785 kanonik baytları üzerinden Ed25519 imzaları kullanıyor; hash zincirleme ve çevrimdışı doğrulama sayesinde üçüncü bir taraf, bir agent'ın karar kaydını ne agent'a ne de MCP araç sunucusuna güvenmek zorunda kalmadan denetleyebiliyor.

Üçüncüsü, başarısızlıkta kapalı (fail-closed) bir geri alma kanıtı makbuzu. Bir işlemin geri alındığı iddiası, orijinal işlem referansına bağlanmadığı sürece doğrulayıcı tarafından reddediliyor — kaybın telafi edildiğine dair sözlü bir güvence kanıt sayılmıyor.

Eşlik eden teknik rapor Zenodo'da arşivlenmiş durumda; gazetieri kodu ve uygunluk vektörleri CC0 lisansıyla, doğrulayıcı ise MIT lisansıyla GitHub'da yayımlanmış. Yazar, başkalarının rakamları yeniden hesaplamasına açıkça davet ediyor ve herhangi bir tutarsızlığı bir hata bildirimi olarak değerlendiriyor.

Uyarılar

Bu rakamlar tek bir kişinin kendi kendine yayımladığı bir yazıdan geliyor ve sınıflandırma metodolojisi — bir araç parametresinin fon hareketiyle veya kimlik bilgileriyle ilişkili olduğuna nasıl karar verildiği — yazının kendisinde değil, yayımlanan yapılarda yer alıyor; dolayısıyla rakamlar, bağımsız olarak yeniden üretilene kadar öz-bildirime dayalı olarak okunmalı. Yazar ayrıca yapısal bir kör noktaya dikkat çekiyor: bir sayım yalnızca kamuya açık MCP sunucularını görebiliyor. Yazarın, düzenlenmiş ödeme trafiğinin gerçekten aktığı yer olduğunu söylediği kurumsal iç dağıtımlar bu tür bir ölçüme görünmez.

Neden önemli

MCP, yapay zeka agent'larının dış sistemlere bağlanmasının standart mekanizması haline geliyor ve her araç parametresi, bir agent'ın çağırmaya ikna edilebildiği bir yeteneği temsil ediyor. Agent'lar cüzdanlar, ödemeler ve hesaplar üzerinde özerklik kazandıkça, sunucu ekosistemi on binlerce uç noktayla ölçülen bir saldırı yüzeyine dönüşüyor. Tam olarak değil ama yönü gösteren bir okuma olarak bile, sayım somut bir prompt injection riskine işaret ediyor: para taşıyabilen ve birçoğu bunun için gerekli kimlik bilgilerini de elinde bulunduran, kamuya açık binlerce sunucu. Yayımlanan araçtakım — kanıt zincirli risk etiketleri, çevrimdışı doğrulanabilir karar makbuzları ve başarısızlıkta kapalı geri alma denetimleri — agent ödeme kararlarının, ne agent'a ne de araç sunucusuna güvenmeyen taraflarca denetlenebilir kılınmasına yönelik dikkat çekici bir girişim.