MCPhantom: agen coding AI menginstal server MCP usang dan tidak dipatch yang diingat dari data pelatihan model

Glow Labs mendokumentasikan sesi (di Claude Code, Cursor, Codex CLI, Claude Cowork dan chat Claude, menggunakan model Anthropic/OpenAI/xAI) di mana agen coding AI yang diminta untuk 'menyiapkan GitHub MCP' menginstal server MCP referensi yang sudah usang dan diarsipkan, bukan server pemilik layanan saat ini. Dalam 98% sesi, agen tampaknya mengisi nama paket lama dari data pelatihan model. Empat kelemahan tingkat keparahan tinggi ditemukan di server referensi tersebut, yang paling serius adalah bug eksekusi kode jarak jauh di server Puppeteer yang dapat dipicu oleh injeksi prompt (agen menjalankan perintah arbitrer alih-alih browser di bawah izin penjelajahan yang sudah diberikan). Para pemelihara menutup laporan sebagai di luar cakupan karena repositori diarsipkan pada Mei 2025 dan tidak dipelihara; tidak ada patch yang akan datang, tetapi paket masih dapat diinstal melalui npx. Paket @modelcontextprotocol/* yang usang telah diunduh lebih dari 17,3 juta kali sejak Juli 2025, lima di antaranya berada di 100 besar MCP npm. Belum ada eksploitasi yang terlihat.

Ini adalah celah rantai pasokan yang tidak terlihat: server MCP ini tidak pernah muncul dalam manifes dependensi, berjalan melalui npx, dan tidak memiliki CVE, sehingga SCA, EDR, dan inventaris perangkat lunak semuanya tetap diam sementara RCE yang dapat dijangkau injeksi prompt dan tidak dipatch mendarat di mesin pengembang. Ini mengubah 'memori' model menjadi manajer paket yang tidak dipelihara tanpa umpan penghentian, sehingga repositori atau injeksi prompt yang bermusuhan dapat menyebabkan agen coding AI menginstal dan mengoperasikan server arsip yang rentan di mesin pengembang.

Agen coding merekomendasikan/menginstal server MCP usang yang diingatnya dari data pelatihan; server yang tidak dipelihara membawa RCE yang dapat dijangkau injeksi prompt (driver browser Puppeteer), sehingga halaman web atau injeksi prompt yang bermusuhan dapat membuat agen menjalankan perintah arbitrer di bawah izin eksekusi/penjelajahan yang sudah diberikan.

Agen coding AI (Claude Code, Cursor, Codex CLI, Claude Cowork) + server MCP referensi @modelcontextprotocol/* yang usang; empat kelemahan tingkat keparahan tinggi termasuk RCE injeksi prompt di server Puppeteer.

Tambahkan status penghentian npm ke kriteria persetujuan instalasi MCP; batasi instalasi agen ke registri server yang disetujui; gunakan hook pra-eksekusi untuk memeriksa server yang baru diinstal; beralih ke server pemilik layanan saat ini jika tersedia; perlakukan pemilihan paket agen sebagai tidak tepercaya dan minta persetujuan operator.