Protocolo MCP atingido por vulnerabilidade de RCE a nível de desenho; Anthropic recusa alterações de arquitetura

Notícia do Gate, 21 de abril — A empresa de segurança OX Security divulgou uma vulnerabilidade de execução remota de código (RCE) a nível de desenho no MCP (Model Context Protocol), o padrão aberto para agentes de IA invocarem ferramentas externas, liderado pela Anthropic. Os atacantes podem executar comandos arbitrários em qualquer sistema que execute uma implementação de MCP vulnerável, obtendo acesso a dados do utilizador, bases de dados internas, chaves de API e históricos de conversas.

A falha não se deve a erros de implementação, mas ao comportamento predefinido no SDK oficial da Anthropic ao lidar com o transporte STDIO — afetando as versões Python, TypeScript, Java e Rust. O StdioServerParameters no SDK oficial lança diretamente subprocessos com base nos parâmetros do comando de configuração; sem uma sanitização adicional de entradas por parte dos programadores, qualquer entrada do utilizador que chegue a esta fase torna-se um comando do sistema. A OX Security identificou quatro vetores de ataque: injeção direta de comandos via interfaces de configuração, contornando a sanitização com flags de comando em lista permitida (, por exemplo npx -c ), injeção por prompt em IDEs para reescrever ficheiros de configuração do MCP para ferramentas como o Windsurf executar serviços STDIO maliciosos sem interação do utilizador, e injetar configurações STDIO através de pedidos HTTP em marketplaces de MCP.

De acordo com a OX Security, os pacotes afetados foram descarregados mais de 150 milhões de vezes, com 7.000+ servidores MCP publicamente acessíveis a expor até 200.000 instâncias em mais de 200 projetos de código aberto. A equipa apresentou 30+ divulgações responsáveis, resultando em 10+ CVEs de alta gravidade ou críticas que abrangem frameworks de IA e IDEs, incluindo LiteLLM, LangFlow, Flowise, Windsurf, GPT Researcher, Agent Zero e DocsGPT; 9 de 11 repositórios de pacotes MCP testados poderiam ser comprometidos com esta técnica.

A Anthropic respondeu que isto é “por design”, chamando ao modelo de execução do STDIO um “design seguro por predefinição”, e transferiu a responsabilidade pela sanitização de entradas para os programadores, recusando modificar o protocolo ou o SDK oficial. Embora o DocsGPT e o LettaAI tenham lançado patches, a implementação de referência da Anthropic permanece inalterada. Com o MCP a tornar-se o padrão de facto para agentes de IA acederem a ferramentas externas — seguido pela OpenAI, Google e Microsoft — qualquer serviço MCP que use a abordagem STDIO predefinida do SDK oficial pode tornar-se um vetor de ataque, mesmo que os programadores escrevam código sem erros.