Giao thức MCP Bị Tấn Công RCE Ở Mức Thiết Kế; Anthropic Từ Chối Thay Đổi Kiến Trúc

Tin tức Gate, ngày 21 tháng 4 — Công ty an ninh OX Security đã công bố một lỗ hổng (RCE) thực thi mã từ xa ở mức thiết kế trong MCP (Model Context Protocol), chuẩn mở để các tác nhân AI gọi các công cụ bên ngoài, do Anthropic dẫn dắt. Kẻ tấn công có thể thực thi các lệnh tùy ý trên bất kỳ hệ thống nào đang chạy một bản triển khai MCP có lỗ hổng, từ đó chiếm quyền truy cập dữ liệu người dùng, cơ sở dữ liệu nội bộ, khóa API và lịch sử trò chuyện.

Lỗ hổng không bắt nguồn từ lỗi triển khai, mà từ hành vi mặc định trong bộ SDK chính thức của Anthropic khi xử lý vận chuyển STDIO—ảnh hưởng đến các phiên bản Python, TypeScript, Java và Rust. StdioServerParameters trong bộ SDK chính thức sẽ trực tiếp khởi chạy các tiến trình con dựa trên các tham số lệnh cấu hình; nếu nhà phát triển không thực hiện bổ sung việc làm sạch đầu vào, bất kỳ đầu vào người dùng nào đến giai đoạn này đều trở thành lệnh hệ thống. OX Security đã xác định bốn kịch bản tấn công: tiêm lệnh trực tiếp thông qua các giao diện cấu hình, vượt qua việc làm sạch bằng các cờ lệnh có danh sách trắng (ví dụ như npx -c \u003ccommand\u003e), tiêm prompt trong IDE để viết lại các tệp cấu hình MCP cho các công cụ như Windsurf nhằm chạy các dịch vụ STDIO độc hại mà không cần tương tác của người dùng, và tiêm cấu hình STDIO thông qua các yêu cầu HTTP trong các chợ MCP.

Theo OX Security, các gói bị ảnh hưởng đã được tải xuống hơn 150 triệu lượt, với 7.000+ máy chủ MCP công khai có thể phơi bày tới 200.000 phiên bản trên hơn 200 dự án mã nguồn mở. Nhóm đã gửi 30+ thông báo tiết lộ có trách nhiệm, dẫn đến 10+ lỗ hổng mức độ cao hoặc nghiêm trọng (CVE) bao phủ các framework AI và IDE bao gồm LiteLLM, LangFlow, Flowise, Windsurf, GPT Researcher, Agent Zero và DocsGPT; 9 trong số 11 kho lưu trữ gói MCP được kiểm thử có thể bị xâm phạm bằng kỹ thuật này.

Anthropic phản hồi rằng đây là “theo thiết kế,” gọi mô hình thực thi của STDIO là “thiết kế mặc định an toàn,” và chuyển trách nhiệm làm sạch đầu vào sang các nhà phát triển, từ chối sửa đổi giao thức hoặc bộ SDK chính thức. Mặc dù DocsGPT và LettaAI đã phát hành bản vá, phần triển khai tham chiếu của Anthropic vẫn không thay đổi. Khi MCP trở thành chuẩn thực tế cho các tác nhân AI truy cập các công cụ bên ngoài—được theo sau bởi OpenAI, Google và Microsoft—bất kỳ dịch vụ MCP nào sử dụng cách tiếp cận mặc định STDIO của bộ SDK chính thức đều có thể trở thành một kịch bản tấn công, ngay cả khi nhà phát triển viết mã không có lỗi.