《Scanning the Harness》供应链审计（2026-09-10，arXiv 2609.07360，ev-20260910-08）：3,171 个公开 GitHub 仓库（2,600 份 Claude Code/Cursor/Copilot/Codex 配置 + 511 个已发布技能集）中 16.0% 至少携带一处安全缺陷——9.8% 安装未锁定 MCP server、3.1% 在看似限定的授权后预批准任意执行、3.8% 的技能携带预批准 shell；全部发现经独立重推导与双人裁定，工具、语料清单与裁定结果公开——MCP/skills 配置供应链的首个量化审计，也是安全需求端首个独立学术测量（2026-09-11 核实）
MCP 企业采用的条件与限制是什么？
MCP 连接能力与企业治理需要分开评估。现有档案可用于筛选试点，但身份、最小权限、配额和审计必须在实际部署中验证。
资料截至 2026-09-27 · 基于档案证据的分析
适用边界
适用于接入企业系统与受保护数据的团队。支持协议不等于满足企业上线要求。
开放问题
- 工具发现与调用是否都受同一身份和权限约束？
- 跨供应商的策略与审计是否一致？
支持材料
LiteLLM 1.102.0 稳定版（2026-09-20，ev-20260913-01 更新）：Agent Skills 发现、按用户 MCP 工具授权、客户自管 KMS 与路由遥测进入 stable gateway；证明控制面可试跑，但仍是单一项目且没有互操作 auth/enforcement 规范
Google Cloud API Gateway MCP（2026-09-24，ev-20260924-08）：现有 REST API 可复用 JWT、配额与日志成为 MCP tool；`tools/list` 默认不鉴权，暴露出企业发现面仍需显式策略
更多证据 · 1
Cloudflare One Gateway 的 MCP 检测与 enforcement 能力 GA——`experimental.is_mcp`、enforcement 仅 Portal 可用、OAuth 预注册（2026-08-14，一手来源，ev-20260814-03）
反面材料
目前尚未记录直接反证，不能据此认定结论已经成立。独立复现与实际部署仍是下一步验证重点。