全网扫描正瞄准MCP服务器、Claude凭据以及暴露在公网上的AI模型，新一轮AI安全威胁正在快速蔓延。安全专家发现，威胁行为者正在全网范围内搜索Model Context Protocol（MCP）服务器、AI助手配置文件，以及那些直接暴露于互联网的本地语言模型服务。

值得关注的是，这些扫描活动主要集中在流量较低的网站，而这些网站本身并未托管AI基础设施。这意味着什么？这并非针对特定组织或开发者的定向攻击，而是一场大规模、无差别的侦察行动，攻击者试图通过广泛撒网来发现潜在漏洞。

互联网风暴中心的分析师在审查一家小型网络托管商的Apache和ModSecurity日志时，发现了这一异常。两周内，他们记录到约200次与AI Agent侦察相关的请求，其中MCP握手探测请求来自49个不同的IP地址，显示出攻击覆盖面之广。

从行业视角来看，这些扫描动作暴露了AI部署领域日益严峻的安全问题。开发者可能在不经意间将MCP服务暴露于公网，把助手设置文件留在公共Web目录里，或者让本地模型能够直接从互联网访问——而攻击者，正在精准地寻找这些配置失误，利用它们进行渗透。

Part01：攻击者进行全文扫描

这次活动最值得警惕的地方，在于攻击者使用了有效的MCP初始化请求，而非简单的路径检查。扫描器没有仅仅询问“这个地址是否存在”，而是直接发送了格式正确的JSON-RPC消息，试图启动MCP对话。这种策略让攻击者能够判断某个可达服务是否真的属于MCP服务器。如果服务器响应了，下一步就是识别可用的工具、连接的数据源，以及AI Agent有权执行哪些操作。

需要明确的是，MCP服务器可以让AI Agent访问数据库、内部API、文件系统、工单系统以及其他业务资源。一旦MCP服务器暴露在外且缺乏身份验证，就等于为外部人员提供了一份机器可读的服务和数据地图——Agent能访问什么，攻击者尽收眼底。这种风险不容忽视。

这些探测的广泛分布，也说明这是一场更大的行动。请求来自许多不同的IP地址，看起来不像学术测试，更像分布式全网扫描，目标就是大规模发现存在漏洞的部署。对于防御者来说，建议审查访问日志中可疑的MCP流量。如果不使用MCP，直接将这些请求视为侦察信号，并在适当位置予以阻止。如果确实运行MCP服务器，务必确认强制要求强身份验证，并且除非严格必要，否则不要直接从公共互联网访问。限制网络访问，还能降低扫描器发现服务的概率，这是AI安全防护的关键措施。

Part02：凭据与模型面临风险

同一扫描活动还盯上了与AI编码助手相关的文件，包括开发者可能无意中放在已部署Web目录里的设置文件和凭据文件。这些文件可能包含连接细节、服务设置，以及价值不菲的密钥。攻击者使用轻量级存在性检查来探测凭据相关文件，说明他们正在针对大量目标优化扫描效率。不是每个文件都下载，而是先确认潜在有用资源是否存在，从而降低被发现的风险。

研究人员还观察到重复尝试定位未经过身份验证的模型服务接口。一个公开可访问的模型端点，可能让攻击者免费使用计算资源、了解已安装的模型，或者成为在环境中进一步活动的立足点。这些扫描还伴随着尝试滥用服务器端请求伪造（SSRF）来攻击云元数据服务。这种技术对AI工具尤其相关，因为Agent和辅助服务通常包含从用户提供的Web地址获取内容的功能，一旦被利用，后果严重。

防御者应该从外部网络检查面向公众的系统，确保AI相关配置文件不被Web服务器提供，同时审查URL获取功能，确保其具备针对内部和云元数据目的地的保护措施。云环境还应尽可能启用元数据服务保护，包括GCP头部强制和AWS IMDSv2，以防止SSRF攻击导致数据泄露。

入侵指标（IoCs）：

注意：IP地址和域名已进行去毒化处理（例如_[.]_），以防止意外解析或超链接。仅在受控的威胁情报平台（如MISP、VirusTotal或SIEM）中进行还原。

参考来源：Internet-Wide Scans Target MCP Servers, Claude Credentials, and Exposed AI Models（https://cybersecuritynews.com/internet-wide-scans-target-mcp-servers-claude-credentials/）