В архитектуре Model Context Protocol (MCP), открытого протокола от Anthropic для подключения ИИ-агентов к внешним данным, обнаружена уязвимость, позволяющая выполнять произвольные команды. Исследователи из OX Security выявили, что проблема затрагивает более 7000 публично доступных серверов.

Уязвимость связана с тем, как MCP обрабатывает запросы на выполнение инструментов — агент может быть обманут и запустить вредоносный код, переданный через специально сформированный ответ от сервера. Атака возможна, если злоумышленник контролирует один из ресурсов, к которому обращается ИИ.

В Anthropic не считают это багом в самом протоколе, называя ситуацию «ожидаемым поведением». Компания подчеркивает, что безопасность зависит от реализации на стороне разработчиков серверов и клиентов, а сам протокол не должен автоматически доверять всем внешним данным.

OX Security, в свою очередь, настаивает на необходимости добавить в спецификацию MCP механизмы верификации команд и ограничения привилегий. Пока Anthropic не планирует менять протокол, разработчикам рекомендуют самостоятельно внедрять проверки и изолировать окружение для запуска агентов.