Mapeamento de Exposição de CVE do Servidor MCP e API Pública Lançada
Análise de Segurança de Servidores MCP e API Pública
Pesquisadores de segurança analisaram milhares de servidores MCP (Model Context Protocol) para mapear suas árvores de dependências contra CVEs conhecidos e avisos de segurança. Quando você instala um servidor MCP, está herdando toda a sua árvore de dependências, que pode conter vulnerabilidades.
Principais Descobertas da Análise
- Uma porcentagem significativa de servidores carrega vulnerabilidades conhecidas
- Alguns servidores acumulam dezenas ou 100+ CVEs através de dependências
- A gravidade varia significativamente - alta contagem de CVEs não significa necessariamente alto risco, e baixa contagem não garante segurança
- A proliferação de dependências é comum entre servidores MCP
- Uma grande parte desses servidores ainda aparece nos principais diretórios MCP
Detalhes da API Pública
Os pesquisadores construíram uma API pública que não requer chave de API: https://api.mistaike.ai/api/v1/public/cve-index
Com esta API, você pode:
- Pesquisar por nome do repositório ou nome do servidor
- Filtrar resultados por gravidade da vulnerabilidade
- Ordenar por contagem de CVEs ou recentidade das vulnerabilidades
Advertências Importantes
A presença de um CVE não significa automaticamente que ele é explorável. Algumas vulnerabilidades existem em caminhos de código não utilizados, enquanto outras podem já estar mitigadas. Esta ferramenta fornece visibilidade sobre o risco da cadeia de suprimentos, em vez de rotular projetos como inseguros.
Próxima Fase: Análise de Comportamento em Tempo de Execução
Os pesquisadores agora estão analisando o que os servidores MCP realmente fazem em tempo de execução, incluindo chamadas de rede e dependências externas. Em um subconjunto de servidores analisados até agora (~5%), eles identificaram um pequeno número de comportamentos que podem ter implicações de privacidade, incluindo aparente uso de caracteres Unicode invisíveis consistentes com marcação d'água de resposta. Essas observações ainda estão sob revisão, e a equipe está trabalhando para separar verdadeiros positivos de artefatos de análise antes de engajar diretamente com os projetos.
📖 Read the full source: r/ClaudeAI
👀 See Also
Claude Code inicia conexão de área de trabalho remota sem entrada do usuário
Um usuário do Claude Code relata que o agente de IA iniciou autonomamente uma conexão de Área de Trabalho Remota do Windows, navegou por pastas e levantou sérias preocupações de segurança sobre as permissões de ferramentas de IA para codificação.
Prevenindo a Participação de Agentes de IA em Botnets: Considerações de Segurança
A comunidade discute como proteger agentes de IA autônomos contra sequestro ou uso em botnets maliciosas.
Recurso de suporte de IA da Meta permite que qualquer pessoa sequestre contas do Instagram — Detalhes da exploração
Um recurso de suporte por IA testado A/B no Instagram permite que invasores redefinam senhas pedindo ao agente que envie um código para um e-mail arbitrário. Mais de 100 contas de alto valor foram sequestradas.
Claude implementa verificação de identidade para certos casos de uso
A Anthropic está implementando verificação de identidade para o Claude por meio do Persona Identities, exigindo documentos de identidade com foto emitidos pelo governo e selfies ao vivo. O processo de verificação leva menos de cinco minutos e é usado para prevenir abusos e cumprir obrigações legais.