โปรโตคอล MCP ถูกกระทบจากช่องโหว่ RCE ระดับการออกแบบ; Anthropic ปฏิเสธการเปลี่ยนแปลงด้านสถาปัตยกรรม

ข้อความข่าว Gate ประจำวันที่ 21 เมษายน — บริษัทความปลอดภัย OX Security ได้เปิดเผยช่องโหว่การรันโค้ดจากระยะไกลระดับการออกแบบ (RCE) ใน MCP (Model Context Protocol) ซึ่งเป็นมาตรฐานเปิดสำหรับเอเจนต์ AI ในการเรียกใช้เครื่องมือภายนอก โดยมี Anthropic เป็นผู้นำ ผู้โจมตีสามารถรันคำสั่งตามอำเภอใจบนระบบใดๆ ที่ใช้การนำไปใช้ของ MCP ที่มีช่องโหว่นั้น ทำให้เข้าถึงข้อมูลผู้ใช้ ฐานข้อมูลภายใน คีย์ API และประวัติการแชทได้

ช่องโหว่นี้ไม่ได้เกิดจากความผิดพลาดในการนำไปใช้งาน แต่เกิดจากพฤติกรรมเริ่มต้นในชุดพัฒนาอย่างเป็นทางการ (SDK) ของ Anthropic เมื่อจัดการการขนส่งแบบ STDIO ซึ่งส่งผลต่อเวอร์ชันของ Python, TypeScript, Java และ Rust พารามิเตอร์ StdioServerParameters ใน SDK อย่างเป็นทางการจะเปิดรันโปรเซสย่อย (subprocesses) โดยตรงตามพารามิเตอร์คำสั่งจากการตั้งค่า หากไม่มีการทำความสะอาดอินพุตเพิ่มเติมโดยนักพัฒนา อินพุตของผู้ใช้ที่ไปถึงขั้นนี้จะกลายเป็นคำสั่งของระบบ OX Security ระบุช่องทางการโจมตีได้ 4 แบบ ได้แก่ การแทรกคำสั่งโดยตรงผ่านอินเทอร์เฟซการตั้งค่า การหลีกเลี่ยงการทำความสะอาดด้วยแฟล็กคำสั่งที่อนุญาตล่วงหน้า (เช่น npx -c ) การโจมตีแบบ prompt injection ใน IDE เพื่อเขียนไฟล์กำหนดค่า MCP ใหม่สำหรับเครื่องมืออย่าง Windsurf ให้รันบริการ STDIO ที่เป็นอันตรายโดยไม่ต้องมีการโต้ตอบจากผู้ใช้ และการฉีดการตั้งค่า STDIO ผ่านคำขอ HTTP ในตลาดกลางของ MCP

จากข้อมูลของ OX Security แพ็กเกจที่ได้รับผลกระทบถูกดาวน์โหลดมากกว่า 150 ล้านครั้ง โดยมีเซิร์ฟเวอร์ MCP ที่เข้าถึงได้แบบสาธารณะมากกว่า 7,000 ราย เปิดเผยอินสแตนซ์ได้มากถึง 200,000 รายทั่วโครงการโอเพนซอร์สมากกว่า 200 โครงการ ทีมงานได้ส่งการเปิดเผยอย่างมีความรับผิดชอบมากกว่า 30 ราย ส่งผลให้เกิด CVE ที่มีความรุนแรงสูงหรือวิกฤตมากกว่า 10 ราย ครอบคลุมเฟรมเวิร์ก AI และ IDE รวมถึง LiteLLM, LangFlow, Flowise, Windsurf, GPT Researcher, Agent Zero และ DocsGPT โดย 9 จาก 11 ที่เก็บแพ็กเกจ MCP ที่ทดสอบแล้วสามารถถูกยอมให้ถูกบุกรุกได้โดยใช้เทคนิคนี้

Anthropicตอบว่าเป็น “โดยการออกแบบ” โดยเรียกรูปแบบการประมวลผลของ STDIO ว่าเป็น “การออกแบบค่าเริ่มต้นที่ปลอดภัย” และย้ายความรับผิดชอบในการทำความสะอาดอินพุตไปให้นักพัฒนา โดยปฏิเสธที่จะปรับเปลี่ยนโปรโตคอลหรือ SDK อย่างเป็นทางการ แม้ว่า DocsGPT และ LettaAI จะออกแพตช์แล้ว แต่การนำอ้างอิงของ Anthropic ยังคงไม่เปลี่ยนแปลง เมื่อ MCP กลายเป็นมาตรฐานโดยพฤตินัยสำหรับเอเจนต์ AI ที่เข้าถึงเครื่องมือภายนอก—โดยมี OpenAI, Google และ Microsoft ตามมา—บริการ MCP ใดๆ ที่ใช้แนวทาง STDIO แบบค่าเริ่มต้นของ SDK อย่างเป็นทางการอาจกลายเป็นช่องทางการโจมตีได้ แม้ว่านักพัฒนาจะเขียนโค้ดที่ปราศจากข้อผิดพลาดก็ตาม