13,120 个公开 MCP server，301 个 A 级。

我们数了多少，怎么数的

候选池 26,823 个 MCP server，其中 13,089 个可达并成功抓取 manifest， 6,846 个需认证、6,816 个不可达、70 个限流、2 个超时。 最终进入分级的是 13,120 条（含 31 条保留行）。

六类风险面：SSRF 与凭证外泄占主导

分母为 13,120 条交集样本；六类为非互斥标注，同一 server 可命中多类。

四族全命中：29 个，100% A 级

同时命中 EXEC + NET + CRED + FS 四族的 server 共 29 个， 这 29 个全部落在 A 级——组合命中不是相加，是相乘。

43.55% 的 server 挂 6–20 个工具

工具数不是风险本身，但它是暴露面乘数——scale 维度在总分里占 0–15 分。

一个命名空间，20 个无需参数即可破坏的工具

io.github.mcp-dir 在 Top20 中占 5 席，全部 A 级， 合计 20 个零参数破坏性工具——调用时不需要任何参数就能触发破坏性动作。

完整版含全部 878 个挂载破坏性工具的 server 名单与逐条工具签名。

五类一级维度 → 四族可观测信号

四族（EXEC / NET / CRED / FS）是可静态观测的部分；描述层投毒与供应链漂移单列，因为它们的证据不在参数签名里。

每一行都能追到原始抓取文件的第几行

CSV 里每一行都带 evidence_line_start 与 evidence_line_end，指向该 server 的 manifest 抓取记录。 加上 evidence_sample，你可以不看我们的结论，直接看原始文本。

四维加权，满分 100，A 级门槛 50 分或硬条件

grade = A if score >= 50 or has_zeroparam_destructive_tool = B if score >= 30 = C otherwise

硬条件那一行是为什么：29 个四族全命中的 server 全部 A 级，其中有一部分分数没到 50——但零参数破坏性工具存在，就不该降级。

这是人工审计方法论，不是自动扫描

116-check manual audit methodology——116 条人工审计规则，逐条判定。 配套的自动 scanner 只做 14 项检查，用来预筛候选，不做最终定级。

这条边界必须说清楚：报告里的 A/B/C 是人工规则判定的结果，不是 scanner 打分。两者数字不可互换引用。

六处容易混的数字，我们提前拆开

拿到 CSV 之后，你自己跑一遍

交付包内含 full_grading.csv（13,120 行全量分级）、rankings.csv（Top100）、 atlas_final.json（数据快照）与 VERIFY.md（第 0 节断言的实际执行输出）。

sha256sum full_grading.csv wc -l full_grading.csv awk -F, 'NR>1{c[$0]}' # 按 grade 列聚合

VERIFY.md 里的每一条断言都带命令和原始输出。对不上，就是我们对不上——没有第二种解释。

数据 ODC-BY 1.0，方法 CC0 1.0

数据（分级结果、CSV、快照）：ODC-BY 1.0，署名后可用于任何用途，含商业用途。

方法（评分规则、116 条审计规则、脚本）：CC0 1.0，放弃一切权利，随便用。

免责：本报告为对公开 MCP server 清单的静态分析，不构成安全认证、合规背书或对任何具体服务可用性的保证。