MCP da Anthropic permite RCE via STDIO e expõe múltiplos frameworks de IA

Uma vulnerabilidade crítica identificada na arquitetura do Model Context Protocol (MCP), desenvolvido pela Anthropic, está acendendo um alerta significativo na indústria de inteligência artificial. A falha, considerada “by design”, abre caminho para execução remota de código (RCE) e pode impactar diretamente toda a cadeia de suprimentos de aplicações baseadas em IA.

A análise conduzida pela OX Security aponta que o problema está enraizado na forma como o MCP gerencia configurações por meio da interface STDIO (entrada/saída padrão). Na prática, essa implementação permite que comandos arbitrários do sistema operacional sejam executados remotamente, comprometendo ambientes que utilizam o protocolo.

Segundo os especialistas envolvidos na análise, a falha permite que hackers obtenham acesso direto a dados sensíveis, incluindo bancos de dados internos, chaves de API e históricos de conversas. O impacto é potencialmente massivo: mais de 7 mil servidores e pacotes de software expostos, somando mais de 150 milhões de downloads, podem estar vulneráveis.

O problema não se limita a uma única aplicação. Ele afeta uma ampla gama de projetos populares no ecossistema de IA, como LangChain, LangFlow, Flowise e LiteLLM. Ao todo, foram identificadas pelo menos 10 vulnerabilidades associadas, incluindo falhas catalogadas como CVEs que envolvem injeção de comandos e execução remota.

A cadeia de ataque é particularmente preocupante. Em muitos cenários, o invasor pode explorar configurações inseguras do MCP para injetar comandos diretamente via STDIO. Em outros casos, ataques mais sofisticados utilizam técnicas de prompt injection — inclusive em cenários “zero-click” — para modificar configurações e disparar execuções maliciosas sem interação do usuário. Há ainda vetores envolvendo marketplaces de MCP, onde requisições de rede podem acionar configurações ocultas e comprometer sistemas.

Do ponto de vista técnico, o comportamento decorre de uma decisão arquitetural: o MCP foi projetado para iniciar servidores locais via STDIO e retornar um “handle” para o modelo de linguagem. No entanto, essa mesma lógica permite que qualquer comando válido seja executado antes mesmo de retornar um erro, criando uma brecha crítica para exploração.

Embora falhas semelhantes tenham sido reportadas anteriormente em projetos como LibreChat, MCP Inspector e Cursor, o problema central persiste. A Anthropic, por sua vez, classificou o comportamento como “esperado” e optou por não alterar a arquitetura do protocolo, transferindo a responsabilidade de mitigação para os desenvolvedores.

Esse posicionamento amplia o risco sistêmico. Como o MCP é utilizado como base para diversas integrações, a vulnerabilidade se propaga silenciosamente por múltiplas linguagens, bibliotecas e aplicações. Na prática, trata-se de um problema de supply chain: uma única decisão de design afetando todo um ecossistema.

Para mitigar os riscos, especialistas recomendam uma série de medidas defensivas. Entre elas estão o bloqueio de acesso público a serviços sensíveis, monitoramento rigoroso de chamadas MCP, execução de serviços em ambientes isolados (sandbox), validação de qualquer entrada externa como não confiável e restrição à instalação de servidores MCP apenas de fontes verificadas.

O caso evidencia uma tendência crescente no cenário de ameaças: à medida que sistemas baseados em IA se tornam mais integrados e automatizados, também ampliam significativamente sua superfície de ataque. A exploração de protocolos, SDKs e frameworks passa a ser um vetor estratégico para hackers, especialmente em ambientes onde automação e confiança implícita são predominantes.