未認証のMCPインターフェース + CORSバイパス

SliverのMCPサーバーは未認証のSSEインターフェースを起動し、すべてのレスポンスにAccess-Control-Allow-Origin: *を返します。

mcp-goライブラリはContent-Typeを検証しないため、シンプルリクエスト（text/plain）はブラウザのプリフライトチェックを完全にスキップします。OPTIONSなし。CORSブロックなし。認証なし。オペレーターが訪問した任意のページが、そのC2と静かに通信できます。