AI coding agents are installing MCP servers that will never be patched

In­ves­ti­ga­cio­nes re­cien­tes de Glow Labs mues­tran que los agen­tes de pro­gra­ma­ción ba­sa­dos en in­te­li­gen­cia ar­ti­fi­cial están ins­ta­lan­do ser­vi­do­res MCP (Model Con­text Pro­to­col) ob­so­le­tos pro­ce­den­tes de re­po­si­to­rios ar­chi­va­dos que no vol­ve­rán a re­ci­bir par­ches de se­gu­ri­dad. Esta con­duc­ta, de­no­mi­na­da MCPhan­tom, ocu­rre prin­ci­pal­men­te cuan­do el agen­te se­lec­cio­na un nom­bre an­ti­guo di­rec­ta­men­te desde los datos de en­tre­na­mien­to de su mo­de­lo en lugar de ele­gir las op­cio­nes ac­tua­les y man­te­ni­das.

Como re­sul­ta­do de este com­por­ta­mien­to, se han iden­ti­fi­ca­do cua­tro vul­ne­ra­bi­li­da­des de alta gra­ve­dad en di­chos ser­vi­do­res de re­fe­ren­cia, in­clu­yen­do un fallo crí­ti­co de eje­cu­ción re­mo­ta de có­di­go en el ser­vi­dor Pup­pe­teer que puede ser ex­plo­ta­do me­dian­te in­yec­ción de prompts. Los man­te­ne­do­res de los re­po­si­to­rios in­di­ca­ron que no habrá co­rrec­cio­nes por­que se en­cuen­tran ar­chi­va­dos desde mayo de 2025, y los pa­que­tes con­ti­núan des­car­gán­do­se ma­si­va­men­te a pesar de su desuso.

Estas de­pen­den­cias pro­ble­má­ti­cas sue­len pasar des­aper­ci­bi­das para las he­rra­mien­tas tra­di­cio­na­les de se­gu­ri­dad, ya que no se re­gis­tran en ar­chi­vos de ma­ni­fies­to ha­bi­tua­les y los sis­te­mas de de­tec­ción ob­ser­van el pro­ce­so como una ins­ta­la­ción le­gí­ti­ma so­li­ci­ta­da por la in­te­li­gen­cia ar­ti­fi­cial. In­clu­so si el agen­te ve­ri­fi­ca el es­ta­do de un pa­que­te y de­tec­ta que está ob­so­le­to, puede pro­ce­der con la ins­ta­la­ción de todas for­mas sin aler­tar al usua­rio.

Para mi­ti­gar esta si­tua­ción, se eva­lúan di­fe­ren­tes en­fo­ques de so­lu­ción que in­clu­yen res­tric­cio­nes por parte de los crea­do­res de los en­tor­nos de eje­cu­ción, ac­tua­li­za­cio­nes en el co­no­ci­mien­to de los mo­de­los, co­rrec­cio­nes por los pro­pie­ta­rios de los pa­que­tes o el uso de gan­chos de pre­eje­cu­ción por parte de los equi­pos de se­gu­ri­dad. El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las di­rec­tri­ces es­pe­cí­fi­cas de la guía men­cio­na­da al final.