Una falla crítica en el Model Context Protocol (MCP) de Anthropic expone más de 150 millones de descargas a posibles compromisos. La vulnerabilidad podría permitir la toma completa de sistemas en hasta 200.000 servidores.

El equipo de investigación de OX Security identificó la falla como una decisión de diseño fundamental integrada en los SDK oficiales de MCP de Anthropic en todos los lenguajes de programación compatibles, incluyendo Python, TypeScript, Java y Rust.

A diferencia de un error de codificación tradicional, esta vulnerabilidad es arquitectónica, lo que significa que cualquier desarrollador que construya sobre la base del MCP de Anthropic hereda sin saberlo la exposición desde cero.

La falla permite la Ejecución Arbitraria de Comandos (RCE) en cualquier sistema que ejecute una implementación vulnerable del MCP.

Una explotación exitosa otorga a los atacantes acceso directo a datos sensibles de usuarios, bases de datos internas, claves API e historiales de chat, entregando efectivamente el control total del entorno afectado.

Los investigadores identificaron cuatro familias distintas de explotación:

• Inyección no autenticada en la interfaz de usuario dirigida a frameworks populares de IA.
• Elusión de endurecimiento en entornos supuestamente protegidos como Flowise.
• Inyección de prompts sin clics en IDEs de IA, incluyendo Windsurf y Cursor.
• Distribución maliciosa en mercados, con 9 de 11 registros de MCP envenenados con éxito con una carga útil de prueba maliciosa.

OX Security confirmó la ejecución exitosa de comandos en seis plataformas de producción en vivo, incluyendo vulnerabilidades críticas en LiteLLM, LangChain y LangFlow de IBM.

La investigación generó al menos 10 CVE que abarcan múltiples proyectos de alto perfil. Varias fallas críticas ya han sido parcheadas, incluyendo CVE-2026-30623 en LiteLLM y CVE-2026-33224 en Bisheng.

En contraste, otras permanecen sin parchear y en estado "reportado", cubriendo herramientas como GPT Researcher, Agent Zero, Windsurf y DocsGPT.

OX Security recomendó repetidamente a Anthropic un parche a nivel de protocolo que habría protegido inmediatamente a millones de usuarios downstream.

Anthropic declinó, describiendo el comportamiento como "esperado". La compañía no objetó cuando los investigadores les notificaron su intención de publicar.

Esta respuesta llega solo días después de que Anthropic presentara Claude Mythos, posicionado como una herramienta para ayudar a asegurar el software mundial, un contraste que los investigadores describen como un llamado a la acción para que Anthropic aplique primero los principios de "Seguridad por Diseño" a su propia infraestructura.

Cómo proteger tu entorno

• Bloquea el acceso público a internet en servicios de IA conectados a APIs o bases de datos sensibles.
• Trata toda entrada de configuración externa del MCP como no confiable; bloquea o restringe las entradas controladas por usuarios a parámetros STDIO.
• Instala servidores MCP solo desde fuentes verificadas, como el registro oficial de MCP en GitHub.
• Ejecuta servicios habilitados para MCP dentro de sandboxes con permisos restringidos.
• Monitorea todas las invocaciones de herramientas en busca de actividad en segundo plano inesperada o intentos de exfiltración de datos.
• Actualiza todos los servicios afectados a sus versiones parcheadas más recientes inmediatamente.

OX Security ha implementado detecciones a nivel de plataforma para identificar configuraciones inseguras de STDIO en MCP en los repositorios de código de los clientes y en el código generado por IA.