Protocolo MCP afectado por una vulnerabilidad de RCE a nivel de diseño; Anthropic se niega a cambios de arquitectura

Mensaje de Gate News, 21 de abril — La firma de seguridad OX Security ha revelado una vulnerabilidad de ejecución remota de código a nivel de diseño (RCE) en MCP (Model Context Protocol), el estándar abierto para que los agentes de IA invoquen herramientas externas, liderado por Anthropic. Los atacantes pueden ejecutar comandos arbitrarios en cualquier sistema que ejecute una implementación vulnerable de MCP, obteniendo acceso a datos de usuarios, bases de datos internas, claves de API e historiales de chat.

El fallo no se debe a errores de implementación, sino al comportamiento predeterminado en el SDK oficial de Anthropic al manejar el transporte STDIO—afectando a las versiones de Python, TypeScript, Java y Rust. StdioServerParameters en el SDK oficial lanza directamente subprocesos basándose en parámetros de comandos de configuración; sin una sanitización adicional de la entrada por parte de los desarrolladores, cualquier entrada de usuario que llegue a esta etapa se convierte en un comando del sistema. OX Security identificó cuatro vectores de ataque: inyección directa de comandos mediante interfaces de configuración, eludir la sanitización con indicadores de comandos en lista blanca (por ejemplo, npx -c ), inyección de prompts en IDE para reescribir archivos de configuración de MCP para que herramientas como Windsurf ejecuten servicios STDIO maliciosos sin interacción del usuario, e inyectar configuraciones STDIO a través de solicitudes HTTP en mercados de MCP.

Según OX Security, los paquetes afectados se han descargado más de 150 millones de veces, con 7.000+ servidores MCP accesibles públicamente que exponen hasta 200.000 instancias en más de 200 proyectos de código abierto. El equipo presentó 30+ divulgaciones responsables, lo que dio como resultado 10+ CVE de alta gravedad o críticas que abarcan marcos de trabajo de IA e IDE incluyendo LiteLLM, LangFlow, Flowise, Windsurf, GPT Researcher, Agent Zero y DocsGPT; 9 de 11 repositorios de paquetes MCP probados podrían verse comprometidos usando esta técnica.

Anthropic respondió que esto es “por diseño”, calificando el modelo de ejecución de STDIO como un “diseño predeterminado seguro”, y trasladó la responsabilidad de la sanitización de entrada a los desarrolladores, negándose a modificar el protocolo o el SDK oficial. Mientras DocsGPT y LettaAI han lanzado parches, la implementación de referencia de Anthropic permanece sin cambios. Con MCP convirtiéndose en el estándar de facto para agentes de IA que acceden a herramientas externas—siguiendo a OpenAI, Google y Microsoft—cualquier servicio MCP que use el enfoque predeterminado de STDIO del SDK oficial podría convertirse en un vector de ataque, incluso si los desarrolladores escriben código sin errores.