全网扫描瞄准MCP服务器、Claude凭据与暴露的AI模型。

AI系统正成为攻击者的新目标，这波操作来得又快又猛。

安全专家发现，威胁行为者正在全网搜索Model Context Protocol（MCP）服务器、AI助手配置文件和那些暴露在公网上的本地语言模型服务。

有意思的是，这些活动主要发生在流量较低的网站上。而这些网站看起来压根没托管AI基础设施。这说明什么？说明这不是针对特定组织或开发者的定向攻击，而是一场大规模、无差别的侦察行动。

互联网风暴中心的分析师在审查一家小型网络托管商的Apache和ModSecurity日志时，发现了端倪。两周内，他们记录到约200次与AI Agent侦察相关的请求，其中MCP握手探测请求来自49个不同的IP地址。

从行业观察来看，这些扫描动作暴露了AI部署领域日益严重的安全问题。开发者可能在不经意间就把MCP服务暴露出来，把助手设置留在公共Web目录里，或者让本地模型可以直接从互联网访问。而攻击者，已经在精准地寻找这些配置失误。

Part01：攻击者进行全文扫描

侦察手段：有效的MCP握手请求

这次活动最值得警惕的地方，是攻击者使用了有效的MCP初始化请求，而不是简单的路径检查。扫描器没有只是问“这个地址在不在”，而是直接发送了格式正确的JSON-RPC消息，试图启动MCP对话。

这种策略让攻击者能判断某个可达服务是否真的像MCP服务器。如果服务器响应了，下一步就是识别可用的工具、连接的数据源，以及AI Agent有权执行哪些操作。

潜在风险：暴露的服务与数据地图

要知道，MCP服务器可以让AI Agent访问数据库、内部API、文件系统、工单系统以及其他业务资源。一旦MCP服务器暴露在外又没有身份验证，等于给外部人员提供了一份机器可读的服务和数据地图。Agent能访问什么，攻击者一目了然。

这些探测的广泛分布，也说明这是一场更大的行动。请求来自许多不同的IP地址。看起来不像学术测试，更像分布式全网扫描。目标就是大规模发现存在漏洞的部署。

防御建议：审查可疑流量与强制身份验证

对于防御者来说，建议审查访问日志中可疑的MCP流量。如果不使用MCP，直接把这些请求当作侦察信号，在适当位置予以阻止。如果确实运行MCP服务器，务必确认强制要求强身份验证，并且除非严格必要，否则不要直接从公共互联网访问。限制网络访问，还能降低扫描器发现服务的概率。

Part02：凭据与模型面临风险

目标一：AI编码助手凭据文件

同一扫描活动还盯上了与AI编码助手相关的文件，包括开发者可能无意中放在已部署Web目录里的设置文件和凭据文件。这些文件可能包含连接细节、服务设置，以及价值不菲的密钥。

攻击者使用轻量级存在性检查来探测凭据相关文件，说明他们正在针对大量目标优化扫描效率。不是每个文件都下载，而是先确认潜在有用资源是否存在。

目标二：暴露的模型服务接口

研究人员还观察到重复尝试定位未经过身份验证的模型服务接口。一个公开可访问的模型端点，可能让攻击者免费使用计算资源、了解已安装的模型，或者成为在环境中进一步活动的立足点。

目标三：利用SSRF攻击云元数据

这些扫描还伴随着尝试滥用服务器端请求伪造（SSRF）来攻击云元数据服务。这种技术对AI工具尤其相关，因为Agent和辅助服务通常包含从用户提供的Web地址获取内容的功能。

防御建议：外部检查与元数据保护

防御者应该从外部网络检查面向公众的系统，确保AI相关配置文件不被Web服务器提供。同时审查URL获取功能，确保其具备针对内部和云元数据目的地的保护措施。云环境还应尽可能启用元数据服务保护，包括GCP头部强制和AWS IMDSv2。

入侵指标（IoCs）：

• 注意：IP地址和域名已进行去毒化处理（例如_[.]_），以防止意外解析或超链接。仅在受控的威胁情报平台（如MISP、VirusTotal或SIEM）中进行还原。

参考来源：Internet-Wide Scans Target MCP Servers, Claude Credentials, and Exposed AI Models（https://cybersecuritynews.com/internet-wide-scans-target-mcp-servers-claude-credentials/）

《夸克》非常好用的免费AI浏览器

下载APP查看