모델 컨텍스트 프로토콜(MCP)은 LLM 애플리케이션이 외부 도구에 접근하는 표준 인터페이스로 자리 잡았지만, 공개 레지스트리에 수천 개의 커뮤니티 제작 서버가 성숙한 패키지 생태계 수준의 검증 체계 없이 배포되고 있다. 이 논문은 2026년 8월 스냅샷 기준 서버 21,643개, 버전 기록 72,606건을 전수 수집하고 14,353개 서버의 소스코드를 확보해 8개 위협 클래스 패턴 스캐너로 분석한 생태계 센서스를 보고한다. 인증되지 않은 네트워크 노출이 9.57%로 가장 흔했고, 정밀도 보정 후 고위험 발견 비율은 약 7.6%였다. 핵심 발견은 단일 취약점이 아니라 불안정성으로, 다중 버전 서버의 51.1%가 버전 간 광고 기능을 바꿨고 40.6%는 이를 조용히 변경했으며 4.2%는 레지스트리 정체성은 유지한 채 원격 엔드포인트를 다른 호스트로 리다이렉트했다. 이런 '조용한 드리프트'는 고위험 발견 확률을 거의 3배(OR=2.96) 높였으며, 인기(스타 수)는 안전성의 대리 지표로는 취약했다(OR=0.78).

• •MCP 공개 레지스트리 21,643개 서버, 72,606개 버전 기록을 전수 조사한 생태계 센서스
• •인증되지 않은 네트워크 노출이 9.57%로 최다, 보정 후 고위험 발견 비율 약 7.6%
• •다중 버전 서버의 51.1%가 버전 간 기능을 변경, 40.6%는 조용히 변경, 4.2%는 엔드포인트를 은밀히 리다이렉트
• •'조용한 드리프트'는 고위험 발견 확률을 약 3배 높이며, 스타 수는 안전성의 약한 대리 지표에 불과(OR=0.78)