OX Security publiserte denne uken funnene fra en bredere kartlegging av Model Context Protocol-økosystemet. Feilen ligger ikke i én enkelt plattform, men i Anthropics offisielle MCP-SDK-er for Python, TypeScript, Java og Rust. Enhver utvikler som bygger på MCP arver eksponeringen, skriver Cyber Security News, og angrepsflaten strekker seg over hele KI-forsyningskjeden.
Angripere kan utføre vilkårlige kommandoer på sårbare systemer, med direkte tilgang til sensitive brukerdata, interne databaser, API-nøkler og chat-historikk. Forskerne utførte live-kommandoer på seks produksjonsplattformer under kartleggingen. Flowise er blant de hardest rammede: OX identifiserte en «hardening bypass» som gjør at selv miljøer med ekstra beskyttelse kan utnyttes via MCP-adapter-grensesnittene.
«Denne sårbarheten stammer fra en arkitekturbeslutning innbakt i Anthropics offisielle MCP-SDK-er på tvers av Python, TypeScript, Java og Rust» — OX Security, via Cyber Security News
Fire distinkte angrepsfamilier er bekreftet: uautentisert UI-injeksjon i populære KI-rammeverk, hardening-bypass i «beskyttede» miljøer som Flowise, zero-click prompt injection i KI-IDE-er som Windsurf og Cursor, og distribusjon av ondsinnede MCP-servere. Av elleve MCP-registre testet, ble ni forgiftet under forskningen.
OX Security anbefalte flere ganger rot-patcher til Anthropic som ville beskyttet millioner av nedstrøms brukere. Anthropic avviste og beskrev oppførselen som «forventet». Selskapet protesterte heller ikke mot publisering av funnene. Det plasserer ansvaret for inneslutning hos deg som driver MCP-tjenester.
Hva bør du gjøre?
- Blokker offentlig internett-eksponering av KI-tjenester som er koblet til sensitive APIer eller databaser. Flytt Flowise, LiteLLM og liknende bak VPN eller Tailscale i dag.
- Behandle all ekstern MCP-konfigurasjonsinput som utrustet. Ikke la brukerinput nå StdioServerParameters under noen omstendighet.
- Installer MCP-servere kun fra verifiserte kilder, som det offisielle GitHub MCP Registry. Ni av elleve registre ble forgiftet under OX-testen.
- Kjør MCP-aktiverte tjenester i sandkasser med minimale rettigheter, og overvåk agent-verktøykall for uventet utgående aktivitet.
- Oppdater Flowise, LiteLLM, LangChain, GPT Researcher, Windsurf, DocsGPT og LangFlow til nyeste patchede versjoner umiddelbart.
Bakgrunn
Model Context Protocol ble lansert av Anthropic i slutten av 2024 som en åpen standard for hvordan KI-agenter kobler seg til eksterne verktøy og datakilder. Protokollen har hatt eksplosiv adopsjon — CuratedMCP teller nå over 64 verifiserte servere i økosystemet. Denne funnene viser at sikkerhetsmodenheten ikke har fulgt etter adopsjonen, og at ansvarsfordelingen mellom protokollforfatter og implementør fortsatt er uavklart.