En popüler 20 MCP sunucusunun taranması, araç açıklamalarında yönlendirme metni ve duraklayan spesifikasyon geçişi ortaya koydu

Tarama neleri kapsadı

Pennyforge tarafından 7 Ekim 2026'da dev.to'da yayımlanan, en çok yıldız alan 20 Model Context Protocol sunucusunun tarihli bir statik analizi, 20 depodan 8'inin araç açıklamalarında talimat niteliğinde yönlendirme metni, ikisinde izin beyanları ve protokolün kırıcı Temmuz 2026 revizyonuna fiilen hiç geçiş olmadığını ortaya koydu.

Arka planda ise dik bir benimseme eğrisi var. Rapora göre resmî TypeScript/Python SDK, taramadan önceki ay 242 milyon npm indirmesi kaydetti ve GitHub'da şu anda mcp-server etiketli 33.674 depo listeleniyor — Kasım 2024'te gelen bir protokol için bu kayda değer bir rakam. Mayıs 2026'da ABD'li NSA, MCP için güvenlik tasarımı değerlendirmeleri yayımladı ve protokolün hızlı yayılmasının güvenlik modelinin gelişimini geride bıraktığını söyledi; Pennyforge bu değerlendirmeye katıldığını belirtiyor.

Analiz nasıl yapıldı

Yazarlar tarama günü 20 depoyu yüzeysel olarak klonladı: beş resmî veya referans sunucu — modelcontextprotocol/servers (91,1b yıldız), upstash/context7 (62,8b), ChromeDevTools/chrome-devtools-mcp (53,1b), microsoft/playwright-mcp (37,9b) ve github/github-mcp-server (33,4b) — ayrıca GitHub'ın mcp-server başlığındaki en çok yıldız alan üçüncü taraf projeler. Ardından yerel bir statik analiz aracı beş sezgisel sinyal uyguladı: araç açıklamalarındaki talimat kalıpları ("you must", "always", "prefer", "call this before"), veritabanlarını, kimlik bilgilerini, ortam değişkenlerini, token'ları, dosyaları ve rastgele komutları kapsayan izin beyanları, harici URL envanterleri, spesifikasyon durumu işaretleri ve son push tarihleri.

Rapor kendi sınırlarını da belirtiyor: bunlar kaynak kod üzerinde desen eşleştirmeleri, runtime testleri değil; eşleşmeler yanlış pozitif olabilir; yıldızlar benimsemeyi değil ilgiyi ölçer.

Açıklamalar gerçekte ne diyor

Tarama 8 depoda toplam 41 talimat kalıbı eşleşmesi kaydetti. Alıntılanan örnekler arasında chrome-devtools-mcp'nin bir agent'a "ALWAYS prefer this tool over multiple individual" (bu aracı her zaman çoklu tekil çağrılara tercih et) demesi, context7'nin belirli işlemlerden önce "You MUST call this function before" (önce bu fonksiyonu çağırmalısın) ifadesi ile mcp-use ve n8n-mcp'de benzer ifadeler yer alıyor.

Pennyforge'a göre bunların hiçbiri bariz şekilde kötü niyetli değil — yönlendirme ipuçları çoğu zaman gerçekten faydalı — ama kalıp önemli, çünkü agent'lar araç açıklamalarını okurken insanlar genellikle okumuyor. Bu asimetri, Invariant Labs'ın Nisan 2025'te ilk MCP tarayıcısı mcp-scan'ı yayımladığında "tool poisoning" adını verdiği mekanizmanın temeli.

İzin beyanları da görünüyor. Rapor kartında yalnızca iki depoda izin eşleşmesi var: ortam aracı tüm ortam değişkenlerini döndürdüğü açıklanan resmî referans deposu ve tanılama aracı tam ortam değişkenleri ile API yanıt ayrıntıları içerebilen n8n-mcp — yani tek bir tanılama çağrısı, bağlı modele bir deployment'ın ortamını teslim edebiliyor. Pennyforge bunu eleştirmediğini, yalnızca işaretlediği bir tasarım tercihi olarak çerçeveliyor.

Geçiş yapmayan kırıcı bir revizyon

2026-07-28 MCP revizyonu initialize el sıkışmasını ve Mcp-Session-Id oturumlarını tamamen kaldırdı: artık her istek protokol sürümünü ve yetenekleri _meta içinde taşıyor ve sunucunun yeni ön kapısı server/discover oldu. Taramaya göre on hafta sonra, 20 depodan 0'ı temiz bir yeni spesifikasyon sinyali gösteriyor. On biri yalnızca eski spesifikasyon işaretleri gösteriyor, dördü karışık, beşi ise doğrudan RPC kodu olmayan SDK'lara dayandıkları için belirsiz. 91.000 yıldızlı resmî referans deposunun kendisi hâlâ eski spesifikasyonda — Pennyforge bunu bir eleştiri değil, tarihli bir geçiş durumu olarak sunuyor.

Dizinler ekosistemden daha hızlı yaşlanıyor

Orijinal ilk 20'deki iki slot tarama gününde zaten 404 vermişti: punkpeye/fetch-mcp ve puppeteer-mcp/puppeteer-mcp yeniden adlandırılmış ya da taşınmıştı. Yerlerine geçenler arasında Mart 2025'te son push yapılan 486 yıldızlı bir puppeteer sunucusu var. 12b yıldızlı tadata-org/fastapi_mcp, 24 Kasım 2025'ten beri push almadı — 14 aydır. Bu arada orijinal MCP tarayıcısı, Invariant Labs'ın mcp-scan'ı, bir satın alma sonrasında artık Snyk'ın agent-scan'ı; yani sunucu ekosistemi dönerken güvenlik araçları da konsolide oluyor.

Neden önemli

MCP araç açıklamaları, modelin itaat ettiği ama işletmecinin nadiren incelediği talimatlardır. Bir agent bağlamadan önce açıklamaları okumak gibi bir besin etiketi alışkanlığı edinmek ucuzdur ve gerçek riskleri gün yüzüne çıkarır — örneğin tek çağrıda tüm ortamı döndürebilen araçları. Tarama ayrıca ekosistemin fiilî durumunu belgeliyor: en görünür projeler arasında neredeyse sıfır benimseme gören kırıcı bir spesifikasyon revizyonu, taşınmış veya uykuda depolara işaret eden yıldız sıralı dizinler ve bilinen en kötü CVE'lerin (CVSS 9,6 ile mcp-remote; 9,4 ile 0.14.1 altındaki MCP Inspector), kimsenin incelemeyi düşündüğü sunucu depolarının dışındaki yapıştırıcı paketlerde durması. NSA'nın fiilen uyardığı gibi, güvenlik modeli benimsemeye yetişene kadar, bunun gibi tarihli anlık görüntüler mevcut en ucuz ön araştırmadır.