Se ha detectado una crisis de seguridad masiva en los servidores públicos del Model Context Protocol (MCP), identificando 4.982 problemas de seguridad en 2.259 servidores afectados. Estas vulnerabilidades representan una amenaza directa para el ecosistema de la IA agentica, especialmente dado que el MCP es el estándar predominante para conectar modelos de lenguaje (LLM) con fuentes de datos locales y remotas.

Una crisis de seguridad generalizada en los servidores públicos del Model Context Protocol (MCP), que cataloga 4.982 problemas de seguridad en 2.259 servidores afectados, dejando al descubierto brechas graves que amenazan directamente al ecosistema emergente de la IA agentica.

El Model Context Protocol se ha convertido en el estándar dominante para conectar modelos de lenguaje extensos (LLM) a fuentes de datos locales y remotas, permitiendo que las aplicaciones de IA evolucionen hacia agentes activos capaces de ejecutar código, consultar bases de datos y gestionar infraestructuras en la nube.

Este rápido crecimiento ha convertido a los directorios de MCP en una base crítica de la economía moderna de la IA. Sin embargo, la velocidad de adopción ha superado significativamente a las salvaguardas de seguridad.

En una auditoría a gran escala de 9.695 servidores MCP rastreados en cuatro directorios públicos (GitHub, Glama, Lobehub y PulseMCP), los investigadores del Equipo de Investigación de Amenazas Prospectivas de Trend Micro identificaron problemas de seguridad confirmados en 2.259 servidores, produciendo 4.982 vulnerabilidades distintas.

El desglose es alarmante: acceso arbitrario a archivos (880 problemas), falta de autenticación (2.054 instancias), inyección de comandos (476), denegación de servicio (490), SSRF (422), inyección SQL (211), cross-site scripting (155), inyección de prompts (185), omisión de autorización (8) e inyección de código (101).

Estos fallos se agruparon en tres categorías de riesgo: vulnerabilidades explotables, debilidades a nivel de diseño (vulnerables por diseño) y comportamientos maliciosos, como la inyección de prompts, donde los atacantes manipulan directamente las respuestas del agente de IA.

Problemas de seguridad identificados en los servidores MCP

Uno de los hallazgos más críticos del estudio es que ni la popularidad del servidor ni su estado de verificación indican de manera fiable la seguridad.

Los servidores verificados promediaron casi tantos problemas de seguridad como los no verificados. Los servidores de alta popularidad (más de 50 estrellas en GitHub) tenían el radio de impacto individual más grande; cuando las herramientas ampliamente adoptadas se ven comprometidas, el impacto llega a la base de usuarios más amplia.

Mientras tanto, los servidores con pocas estrellas mostraron un recuento promedio de problemas por servidor más alto de lo esperado, demostrando que una baja visibilidad no significa un riesgo bajo.

Del mismo modo, los servidores con un mayor número de commits no mostraron una reducción significativa en los problemas de seguridad. Un desarrollo más activo puso más código sobre la mesa sin mejoras de seguridad proporcionales.

La investigación identificó servidores vulnerables en herramientas de criptomonedas y DeFi, plataformas de automatización de oficinas y aplicaciones empresariales.

En un caso, un desarrollador prolífico con más de 40 servidores MCP centrados en cripto tenía 101 problemas de seguridad en 13 repositorios afectados, incluyendo inyección de plantillas en el lado del servidor e inyección de prompts que podrían permitir transacciones de blockchain no autorizadas.

Los servidores de automatización de oficinas de otro desarrollador incluían llamadas directas a eval(), permitiendo la ejecución de código Python arbitrario.

Los servidores middleware JDBC/ODBC empresariales exhibieron fallos de inyección SQL y acceso no autenticado al Active Directory, creando rutas de reconocimiento y escalada de privilegios para los atacantes.

Los fallos de seguridad rara vez aparecen aislados. La investigación identificó patrones de coocurrencia frecuentes, especialmente el acceso arbitrario a archivos combinado con la falta de autenticación.

Esto indica fallos sistémicos en la validación de entradas y en la higiene básica de seguridad, más que errores de codificación puntuales.

El equipo de seguridad debe tratar cada servidor MCP de terceros como código no revisado, independientemente de sus estrellas o su insignia de verificación. Las medidas obligatorias incluyen:

Revisar todo el código del servidor MCP de terceros antes de su despliegue. Imponer la autenticación y controles de acceso de privilegio mínimo. Validar todas las entradas de las herramientas para prevenir ataques de inyección.

Implementar la inspección de tráfico en tiempo real entre los agentes de IA y los servidores MCP. Adoptar la creación de líneas base de comportamiento para detectar cuándo las herramientas MCP se desvían de su función prevista.

Cualquier organización deben abandonar las suposiciones de confianza por defecto. Las métricas de prueba social, como las estrellas de GitHub o las insignias de los directorios, no ofrecen garantía de seguridad; solo lo hacen las auditorías de código rigurosas y las prácticas de integración de confianza cero (zero-trust).

Fuentes:
https://cybersecuritynews.com/security-issues-mcp-servers/