Эталонные серверы MCP 1.0.0: список релиза, не знак безопасности
Сегодняшний AI Extensions проверяет компонент Fetch, семь версий пакетов и репозиторий со смешанными лицензиями. Пакеты не запускались.
Проверка источников 12 октября 2026 года
Сегодняшний AI Extensions проверяет компонент Fetch, семь версий пакетов и репозиторий со смешанными лицензиями. Пакеты не запускались. v1.0.0
Один релиз, две схемы версий
Официальный релиз от 11 октября перечисляет Everything, Filesystem, Memory и Sequential Thinking версии 1.0.0 в npm. Fetch, Git и Time указаны с версией 2026.10.10 в PyPI. Это версии пакетов; тег не означает новую спецификацию протокола. Репозиторий называет их эталонными реализациями. Моя причина включить релиз в обзор: изменённая граница доступа Fetch, не круглая цифра.
В центре внимания: mcp-server-fetch
Fetch получает URL и преобразует HTML в Markdown для LLM. Документированный инструмент принимает url, max_length, start_index и raw; max_length по умолчанию равен 5000 символов, start_index равен нулю. Чтение частями помогает ограничить возвращаемый текст, но не задаёт политику назначения. Короткий ответ тоже может прийти с чувствительного хоста. Текущее описание пакета указывает MCP Python SDK 1.x, зависимость mcp>=1.29.0,<2 и Python не ниже 3.10.
Настройка: изучить до запуска
Документация предлагает uvx mcp-server-fetch либо pip install mcp-server-fetch с последующим python -m mcp_server_fetch. Это пути запуска из источника, а не выполненные мной команды. Для управляемого внедрения определите и запишите точную версию, не предполагая, что незакреплённый вызов даёт проверенную сборку. Убедитесь, что работающий сервер сообщает 2026.10.10. Локальный stdio-сервер всё равно является кодом на вашей машине с доступом к сети, разрешённым окружением.
Сопровождение и наблюдаемый сигнал сообщества
Релиз датирован 11 октября 2026 года; PR с сетевым фильтром объединён 5 октября. Страница репозитория показывала 91 128 звёзд при проверке 12 октября. Это сигнал всего репозитория, не показатель использования Fetch или одобрения этой версии; популярность не равна качеству. Я не заявляю рост, динамику скачиваний или рейтинг. Свидетельства сопровождения здесь: опубликованный релиз и объединённое изменение, не доказательство обслуживания каждого развёртывания.
Лицензия: пакет и репозиторий отдельно
Метаданные Fetch заявляют MIT. Файл LICENSE репозитория описывает переход: новый код и вклады в спецификации используют Apache-2.0, документация кроме спецификаций использует CC-BY-4.0, а старые вклады без согласия на смену лицензии остаются MIT. Поэтому назвать всё текущее дерево просто MIT означало бы скрыть важное различие. Для распространения изучите файлы и уведомления конкретного артефакта. Обзор передаёт заявления источников, а не юридическое мнение о вашем распространении.
Безопасность и приватность: новые настройки и оставшиеся пределы
PR #5033 и актуальное описание пакета документируют отказ от непубличных адресов перед запросами, включая robots.txt и каждый переход перенаправления. --allow-private-ips отключает фильтр. Остаются два названных предела: DNS может измениться между разрешением имени и подключением, а имена, которые сервер не может разрешить сам, передаются дальше, включая доступные лишь прокси. Я рекомендую независимые от URL-проверки ограничения исходящей сети, окружение без секретов для приёмки и недоверие к тексту страниц. Получатель видит запрос; не помещайте частные данные в URL.
Объединённое изменение сетевого фильтра
Небольшой процесс проверки
Создайте задачу с четырьмя полями доказательств: точная установленная версия; аргументы запуска и прокси; результаты отказа для подконтрольного loopback-теста и публичного перенаправления на loopback; сетевая политика фактического соединения. Отделяйте тесты, о которых сообщает поставщик, от своих наблюдений. Перед распространением перепроверьте лицензию закреплённого артефакта. Не включайте обход только ради зелёного теста. Это план проверки, не результат аудита и не заявление, что я тестировал серверы.
Объединённое изменение сетевого фильтра
Документированные пути запуска, здесь не выполнялись
uvx mcp-server-fetch
# альтернатива
pip install mcp-server-fetch
python -m mcp_server_fetchИсточники и оговорка о метаданных
Полученное представление страницы проекта всё ещё показывало 2026.8.18. Прямой JSON PyPI, отдельно проверенный 12 октября, вернул 2026.10.10 и описание нового фильтра, согласующиеся с записью релиза. Для разрешения расхождения я использовал актуальные метаданные, а не объявил первое представление текущим. PyPI JSON