Apa yang terjadi
Para peneliti (arXiv 2610.22301, 'My Credentials, Please', 2026-10-15) merumuskan 'filesystem capability laundering': argumen yang diarahkan penyerang menyebabkan alat MCP mengakses file host yang sensitif di luar cakupan yang dideklarasikan. Pemindaian terhadap 21.097 server MCP di sembilan registry menandai 787 (16,4%) dengan kemampuan filesystem meskipun klasifikasi non-filesystem; validasi dinamis mengonfirmasi 150 instance rentan, dan pengungkapan terkoordinasi menghasilkan 13 advisory termasuk dua CVE di Git MCP Server milik Anthropic (misalnya CVE-2026-27735).
Mengapa penting
Ini adalah titik buta otorisasi di seluruh ekosistem pada protokol agen-tool yang paling banyak diadopsi. Ini menunjukkan bahwa prompt persetujuan per-alat MCP tidak membatasi jangkauan filesystem proses server yang mendasarinya, sehingga agen yang diarahkan ke server MCP pihak ketiga dapat diam-diam membaca kredensial host — jalur berisiko rendah menuju kompromi mesin pengembang untuk ribuan server yang diterapkan.
Vektor serangan
'Filesystem capability laundering' adalah kelas di mana argumen alat yang diarahkan penyerang (misalnya jalur git_add dengan traversal ../) membuat alat MCP yang tampaknya jinak membaca file host di luar kontrak dan cakupan penerapan yang dideklarasikan. Gerbang persetujuan sisi klien mengeksekusi berdasarkan argumen yang dideklarasikan, tetapi proses server yang dibuat berjalan dengan izin filesystem host ambient, sehingga kredensial di luar cakupan bocor melalui output alat biasa.
Sistem yang terdampak
Server Model Context Protocol (MCP) — model izin di mana server stdio lokal berjalan dengan izin filesystem host ambient; termasuk Git MCP Server milik Anthropic (mcp-server-git < 2026.1.14)
Mitigasi
Untuk kasus Git MCP Server Anthropic yang telah diperbaiki secara konkret, tingkatkan mcp-server-git ke 2026.1.14 atau lebih baru (CVE-2026-27735). Secara defensif, perlakukan setiap alat MCP yang menerima jalur sebagai yang dikendalikan penyerang dan pasir/keraskan server MCP pihak ketiga daripada mempercayai kontrak yang dideklarasikan.