事件经过
Glow Labs记录了跨Claude Code、Cursor、Codex CLI、Claude Cowork和Claude聊天（使用Anthropic/OpenAI/xAI模型）的会话，其中要求“设置一个GitHub MCP”的AI编码代理安装了已弃用、已归档的参考MCP服务器，而非当前的服务所有者服务器。在98%的会话中，代理似乎从模型训练数据中填充了旧包名。在这些参考服务器中发现了四个高危漏洞，最严重的是Puppeteer服务器中的远程代码执行漏洞，可通过提示注入触发（代理在已授予的浏览权限下运行任意命令而非浏览器）。维护者因仓库已于2025年5月归档且无人维护而将报告关闭为超出范围；不会有修补，但包仍可通过npx安装。已弃用的@modelcontextprotocol/*包自2025年7月以来已被下载超过1730万次，其中五个在npm的MCP前100中。尚未看到利用。
影响分析
这是一个隐形供应链缺口：这些MCP服务器从未出现在依赖清单中，通过npx运行，且没有CVE，因此SCA、EDR和软件库存都保持静默，而未修补的提示注入可达RCE落在开发者机器上。它将模型的“记忆”变成了一个没有弃用通知的未维护包管理器，因此敌意仓库或提示注入可导致AI编码代理在开发者机器上安装并运行易受攻击的已归档服务器。
攻击途径
编码代理推荐/安装它从训练数据中回忆起的已弃用归档MCP服务器；未维护服务器携带提示注入可达RCE（Puppeteer浏览器驱动），因此敌意网页或提示注入可使代理在已授予的浏览器/执行权限下运行任意命令。
受影响系统
AI编码代理（Claude Code、Cursor、Codex CLI、Claude Cowork）+ 已弃用的@modelcontextprotocol/*参考MCP服务器；四个高危漏洞，包括Puppeteer服务器中的提示注入RCE。
缓解措施
将npm弃用状态添加到MCP安装审批标准中；将代理安装限制在批准服务器注册表；使用预执行钩子检查新安装的服务器；在可用时切换到服务所有者的当前服务器；将代理包选择视为不可信并要求操作员批准。