В популярном ИИ-протоколе нашли критическую уязвимость — отвечающая за него Anthropic ничего исправлять не будет

Исследователи в области кибербезопасности из компании OX Security обнаружили уязвимость в протоколе MCP (Model Context Protocol), работающую на уровне его архитектуры. Она затрагивает официальные SDK для языков Python, TypeScript, Java и Rust. Под угрозой программные решения со 150 млн загрузок и до 200 тыс. экземпляров серверов. Anthropic заявила, что вносить изменения в протокол не требуется, потому что такое поведение «ожидаемо».

Выбираем лучший игровой ноутбук до 100 000 рублей: сравнительное тестирование 7 интересных моделей

Обзор Intel Core Ultra 7 270K Plus — лучший Arrow Lake за полцены

От Ryzen 7 1800X до Ryzen 7 9850X3D: девять лет эволюции AMD в одном тесте

Обзор Intel Core Ultra 5 250K Plus, или Как Arrow Lake превратился в «топ за свои деньги»

Компьютер месяца — май 2026 года

72 полёта над Марсом: как Ingenuity пережил зиму, сбои и собственную миссию

Обзор Apple MacBook Neo: удивительно хороший ноутбук с процессором от iPhone

Линия защиты: обзор виртуальных машин и песочниц для Android

Источник изображений: anthropic.com

Anthropic представила открытый стандарт MCP в 2024 году — он позволяет моделям искусственного интеллекта подключаться к внешним инструментам, базам данных и API. В прошлом году компания передала его в Agentic AI Foundation при Linux Foundation; сейчас протокол используется в OpenAI, Google и в большинстве инструментов разработки с использованием ИИ. Уязвимость связана с тем, как MCP обрабатывает запросы через интерфейс STDIO — запросы передаются в точку выполнения команд без дополнительной проверки. То есть каждый использующий MCP разработчик автоматически наследует эту уязвимость.

Эксперты OX Security сформулировали четыре возможных семейства эксплойтов для этой уязвимости: внедрение вредоносного кода в пользовательский интерфейс без авторизации; обход средств безопасности на считающихся защищёнными платформах вроде Flowise; внедрение вредоносных запросов для IDE-сред, в том числе Windsurf и Cursor, которые могут выполняться без участия пользователя; и распространение вредоносных пакетов через платформы MCP. Чтобы подтвердить свою гипотезу, исследователи успешно внедрили тестовую полезную нагрузку в 9 из 11 реестров MCP и подтвердили возможность выполнения команд на шести рабочих коммерческих платформах.

В рамках исследования были установлены не менее десятка частных уязвимостей с высоким или критическим рейтингом. Уязвимости шлюза LiteLLM (CVE-2026-30623) и платформы Bisheng (CVE-2026-33224) значатся как закрытые; уязвимость Windsurf (CVE-2026-30615), допускающая локальное выполнение кода без участия пользователя имеет статус «сообщение получено» — тот же статус у уязвимостей открытых проектов GPT Researcher, Agent Zero, LangChain-Chatchat и DocsGPT.

OX Security, по её собственному заявлению, неоднократно рекомендовала Anthropic исправить эти уязвимости на уровне протокола, например, разрешив выполнять запросы только из манифеста или предусмотрев список разрешённых команд на уровне SDK, но в Anthropic ответили отказом и не стали возражать против оглашения информации об уязвимости.

При этом сейчас сама Anthropic расследует факт неавторизованного доступа к передовой модели Mythos; ранее компания также допустила утечку исходного кода сервиса Claude Code. Сейчас управление MCP передано Linux Foundation, но Anthropic всё ещё осуществляет поддержку эталонных SDK, в которых обнаружена уязвимость. Пока механизм работы STDIO не изменится, разработчикам придётся собственными силами реализовывать средства очистки входных данных.