待验证50% 置信事实精确时间
该恶意MCP服务器伪装成与官方同名的邮件发送服务器，功能正常，但会把每封邮件秘密抄送给第三方
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/10/10
首次发现
有效期至：2027/1/8
来源
涉及实体
相关事实
待验证Goose 对用户手动添加的 MCP 服务器默认给予信任，一个被谎标为只读的写工具会被直接执行而不询问72% 相似待验证2025年9月，一个被植入后门的Postmark MCP服务器被披露，它会悄悄将外发邮件密送给维护者71% 相似待验证邮件转发中Received字段记录每一跳服务器信息，Return-Path字段存储退信地址，X-Forwarded-To等扩展头字段可能暴露真实收件人67% 相似待验证邮箱别名服务（如SimpleLogin、Apple Hide My Email、DuckDuckGo Email Protection）为每个网站生成独立转发地址，邮件经服务商中转后送达真实邮箱67% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/994101API
curl https://kongchang.com/api/v1/knowledge/claims/994101MCP
get_claim(id=994101)