安全风险

聚合包含「安全风险」的文章，方便按工具、配置项或错误现象继续排查。

MCP Server 安装前怎么检查 tool poisoning 风险

安装 MCP Server 前先检查 tools 描述、隐藏参数、启动命令、scope 和本地权限；陌生 Server 不要和文件、邮件、GitHub、数据库等敏感工具放在同一会话里直接启用。

AI Agent 建议安装 npm、PyPI 或 Cargo 依赖时，先核对包名是否真实、来源是否可信、安装脚本会不会执行、lockfile 带进了什么，再决定是否允许。

如果你装过 codexui-android、@friuns/codexui 或相关非官方 Android Codex 工具，先检查依赖、退出 Codex 登录、处理 auth.json 风险，并重新登录验证。