MCP server directory namespace hijack: >900 tautan server MCP yang mati menunjuk ke akun GitHub yang dapat didaftarkan ulang, ~80 meniru AWS/MySQL/PayPal dll.

TrendAI melakukan pemeriksaan kesehatan pada lebih dari 90.000 URL GitHub unik di empat direktori MCP utama dan menemukan sekitar 8% mati, dengan lebih dari 900 menunjuk ke akun GitHub yang dihapus yang dapat dengan mudah didaftarkan ulang oleh penyerang — tanpa eksploitasi atau malware. Lebih dari 80 entri yang dapat dibajak dinamai setelah layanan terkenal (AWS, MySQL, PayPal, Shopify, Telegram, OpenAI, Gemini) yang dicari pengguna, dan lebih dari seperempat permukaan yang dapat dibajak berasal dari 10 akun teratas yang dapat diklaim. Direktori tidak secara rutin memvalidasi kesehatan tautan, mendeteksi perubahan namespace, atau memverifikasi integritas kode, dan dengan agen AI yang semakin sering menginstal server MCP secara otonom, ini mengalihkan serangan dari menipu pengguna menjadi menipu agen.

Ini adalah risiko rantai pasokan yang menyebar sendiri khusus untuk tumpukan AI agenik: satu akun GitHub yang didaftarkan ulang dapat menjadi alat tepercaya yang dihubungkan otomatis oleh agen AI, lalu menyuntikkan instruksi ke dalam konteks agen atau mengekspos kredensial OS/pengguna (kunci SSH, .env, kredensial AWS) dan token OAuth. Karena server MCP berada di belakang LLM, satu server yang dibajak dapat menjadi serangan lintas layanan tanpa kode eksploitasi tradisional, sesuai dengan advisori Pusat Keamanan AI NSA tentang kelemahan desain MCP.

Server MCP yang terdaftar menautkan ke akun GitHub yang telah dihapus; penyerang mendaftarkan ulang nama pengguna yang sama persis dan menerbitkan kembali fork, mewarisi kepercayaan dan visibilitas dari setiap daftar direktori yang masih menunjuk ke sana. Ketika agen AI (yang mengurai README sebagai konteks, mencocokkan nama/deskripsi, dan mungkin tidak mengingat pemilik sebelumnya) menginstal/menghubungkan server, instruksi atau alat yang disuntikkan penyerang berjalan — memungkinkan injeksi prompt, eksekusi kode arbitrer di lingkungan agen, dan penyalahgunaan alat lintas layanan melalui LLM yang berada di belakangnya.

Direktori server MCP (daftar komunitas) dan server MCP yang mereka rujuk; tidak ada versi perangkat lunak spesifik — risiko rantai pasokan registry/platform.

Tidak ada patch (bukan kerentanan perangkat lunak dalam satu paket). Operator direktori dan kebijakan CI harus memvalidasi kesehatan tautan, mendeteksi perubahan namespace, memverifikasi integritas kode di URL yang terdaftar, dan mengunci server MCP ke commit/ref yang tidak dapat diubah (misalnya git SHA) daripada nama akun yang dapat berubah; penginstal agen AI harus memerlukan persetujuan eksplisit dari manusia dan memverifikasi kepemilikan/reputasi sebelum menghubungkan.