Mapeamento de Exposição de CVE do Servidor MCP e API Pública Lançada
Análise de Segurança de Servidores MCP e API Pública
Pesquisadores de segurança analisaram milhares de servidores MCP (Model Context Protocol) para mapear suas árvores de dependências contra CVEs conhecidos e avisos de segurança. Quando você instala um servidor MCP, está herdando toda a sua árvore de dependências, que pode conter vulnerabilidades.
Principais Descobertas da Análise
- Uma porcentagem significativa de servidores carrega vulnerabilidades conhecidas
- Alguns servidores acumulam dezenas ou 100+ CVEs através de dependências
- A gravidade varia significativamente - alta contagem de CVEs não significa necessariamente alto risco, e baixa contagem não garante segurança
- A proliferação de dependências é comum entre servidores MCP
- Uma grande parte desses servidores ainda aparece nos principais diretórios MCP
Detalhes da API Pública
Os pesquisadores construíram uma API pública que não requer chave de API: https://api.mistaike.ai/api/v1/public/cve-index
Com esta API, você pode:
- Pesquisar por nome do repositório ou nome do servidor
- Filtrar resultados por gravidade da vulnerabilidade
- Ordenar por contagem de CVEs ou recentidade das vulnerabilidades
Advertências Importantes
A presença de um CVE não significa automaticamente que ele é explorável. Algumas vulnerabilidades existem em caminhos de código não utilizados, enquanto outras podem já estar mitigadas. Esta ferramenta fornece visibilidade sobre o risco da cadeia de suprimentos, em vez de rotular projetos como inseguros.
Próxima Fase: Análise de Comportamento em Tempo de Execução
Os pesquisadores agora estão analisando o que os servidores MCP realmente fazem em tempo de execução, incluindo chamadas de rede e dependências externas. Em um subconjunto de servidores analisados até agora (~5%), eles identificaram um pequeno número de comportamentos que podem ter implicações de privacidade, incluindo aparente uso de caracteres Unicode invisíveis consistentes com marcação d'água de resposta. Essas observações ainda estão sob revisão, e a equipe está trabalhando para separar verdadeiros positivos de artefatos de análise antes de engajar diretamente com os projetos.
📖 Read the full source: r/ClaudeAI
👀 See Also
Experimento de Auditoria de Segurança Mostra que o Desempenho do Agente de IA Depende do Acesso ao Conhecimento
Um desenvolvedor realizou três auditorias de segurança no mesmo código-base Next.js usando diferentes abordagens de IA: a revisão de segurança integrada do Claude Code encontrou 1 crítica, 6 altas, 13 médias; um agente de IA sem contexto extra encontrou 1 crítica, 5 altas, 14 médias; um agente de IA com 10 livros profissionais de segurança encontrou 8 críticas, 9 altas, 10 médias.
Análise de Segurança de Agentes de IA Revela Modelo de Confiança Comprometido e Altas Taxas de Vulnerabilidade
Uma análise de segurança de agentes de IA mostra que o modelo fundamental de confiança está quebrado, com 49% dos pacotes MCP apresentando problemas de segurança e a injeção indireta alcançando taxas de sucesso de ataque de 36-98% nos modelos mais avançados.
Usando o FastAPI Guard para proteger instâncias do OpenClaw contra ataques
O FastAPI Guard fornece um middleware que adiciona 17 verificações de segurança, incluindo filtragem de IP, bloqueio geográfico, limitação de taxa e detecção de penetração. A ferramenta bloqueia ataques como os documentados em auditorias de segurança do OpenClaw, que mostram 512 vulnerabilidades e mais de 40.000 instâncias expostas.
Analisador de Habilidades Agora Disponível no ClawHub com Instalação por Um Comando
O scanner de segurança OpenClaw Skill Analyzer já está disponível no ClawHub com instalação por um único comando. A ferramenta analisa pastas de habilidades em busca de padrões maliciosos como injeção de prompt e roubo de credenciais, e inclui suporte a sandbox Docker para execução segura.