Атаки на MCP. Как взламывают инструменты ИИ-разработчиков

Не­дав­но изра­иль­ские иссле­дова­тели обна­ружи­ли кри­тичес­кую уяз­вимость уда­лен­ного выпол­нения кода (RCE) в про­екте Anthropic's Model Context Protocol (MCP) Inspector. Уяз­вимость получи­ла иден­тифика­тор CVE-2025-49596 и оцен­ку CVSS 9.4 — это говорит о чрез­вычай­ной серь­езности. Экс­плу­ати­руя этот баг, зло­умыш­ленник может уда­лен­но выпол­нить про­изволь­ный код на машине раз­работ­чика с уяз­вимой вер­сией MCP Inspector. А это, сог­ласись, уже не шут­ки.

Что такое MCP Inspector и почему он так важен?

MCP Inspector — инс­тру­мент для раз­работ­чиков, пред­назна­чен­ный для тес­тирова­ния и отладки MCP-сер­веров. Model Context Protocol (MCP) — откры­тый стан­дарт для соз­дания безопас­ных, двус­торон­них соеди­нений меж­ду источни­ками дан­ных и инс­тру­мен­тами на базе ИИ, раз­работан­ный Anthropic.

Про­ще говоря, MCP — это как USB-C для ИИ‑при­ложе­ний. Точ­но так же, как через один порт мож­но под­клю­чить монитор, кла­виату­ру или внеш­ний диск, через MCP раз­ные при­ложе­ния могут обме­нивать­ся кон­тек­стом с язы­ковы­ми моделя­ми. Inspector запус­кает два ком­понен­та: кли­ент­ский интерфейс MCP Inspector (MCPI) (порт по умол­чанию — 6274) сер­вер MCP Proxy (MCPP) (порт по умол­чанию — 6277).

А теперь к проб­леме: в уяз­вимых вер­сиях MCP Inspector (ниже 0.14.1) нет аутен­тифика­ции меж­ду кли­ентом Inspector и сер­вером. Любой, кто получит дос­туп к пор­ту инспек­тора, может отправ­лять коман­ды и выпол­нять код без про­вер­ки под­линнос­ти. Мно­гие раз­работ­чики запус­кают этот инс­тру­мент на сво­их локаль­ных машинах, час­то с откры­тым дос­тупом через 0.0.0.0. В таких слу­чаях ата­кующий может получить пол­ный дос­туп через откры­тую сеть.

Механизм атаки: как это работает?

Ме­ханизм экс­плу­ата­ции этой уяз­вимос­ти прост: пос­коль­ку MCP Inspector не тре­бует аутен­тифика­ции, зло­умыш­ленник может исполь­зовать DNS-rebinding или дру­гие методы для обхо­да огра­ниче­ний Same-Origin Policy в бра­узе­ре.

Это поз­воля­ет вре­донос­ному сай­ту или при­ложе­нию вза­имо­дей­ство­вать с локаль­но запущен­ным MCP Inspector, отправ­ляя ему вре­донос­ные коман­ды. В резуль­тате зло­умыш­ленник получа­ет воз­можность выпол­нять про­изволь­ный код на машине раз­работ­чика. Даль­ше — дело тех­ники: кра­жа дан­ных, уста­нов­ка бэк­доров, пол­ная ком­про­мета­ция сис­темы.

Пред­ставь: ты откры­ваешь безобид­ную стра­ницу, а она в фоновом режиме ска­ниру­ет твои локаль­ные пор­ты, находит уяз­вимый MCP Inspector и начина­ет собирать дан­ные. Это выг­лядит так, как если бы ты оста­вил дверь сво­его дома нарас­пашку, а на ней висела таб­личка: «Заходи кто хочешь, делай что хочешь!».

Последствия и риски: что на кону?

Пос­ледс­твия экс­плу­ата­ции CVE-2025-49596 могут быть весь­ма серь­езны­ми:

• Уда­лен­ное выпол­нение кода (RCE). Самая оче­вид­ная и опас­ная угро­за. Зло­умыш­ленник может выпол­нять любые коман­ды на ском­про­мети­рован­ной машине, что дает ему пол­ный кон­троль над сис­темой.
• Кра­жа дан­ных. Кон­фиден­циаль­ные дан­ные, такие как исходный код про­ектов, клю­чи API, учет­ные дан­ные и дру­гая чувс­тви­тель­ная информа­ция могут быть укра­дены.
• Ус­танов­ка вре­донос­ного ПО. Зло­умыш­ленник может уста­новить бэк­доры, шпи­онское ПО или прог­раммы‑вымога­тели, что при­ведет к дол­госроч­ной ком­про­мета­ции сис­темы и потере кон­тро­ля над ней.
• Ком­про­мета­ция инфраструк­туры. Если ском­про­мети­рован­ная машина — часть кор­поратив­ной сети, зло­умыш­ленник может исполь­зовать ее как плац­дарм для даль­нейших атак на дру­гие сис­темы и ресур­сы ком­пании.
• На­руше­ние репута­ции. Подоб­ные уяз­вимос­ти могут серь­езно подор­вать доверие поль­зовате­лей и репута­цию ком­паний, исполь­зующих MCP.

Решение и рекомендации: как защититься?

К счастью, решение этой проб­лемы сущес­тву­ет. Anthropic уже выпус­тила обновлен­ные вер­сии MCP Inspector, в которых уяз­вимость устра­нена. Глав­ная рекомен­дация для всех раз­работ­чиков, исполь­зующих MCP Inspector, — немед­ленно обно­вить­ся до вер­сии 0.14.1 или выше. Это кри­тичес­ки важ­ный шаг, который поможет защитить­ся от потен­циаль­ных атак.

Но одно­го обновле­ния мало. Сто­ит при­нять допол­нитель­ные меры безопас­ности:

• Огра­ничь дос­туп к пор­там MCP Inspector. Убе­дись, что к пор­там 6274 и 6277 нель­зя под­клю­чить­ся из интерне­та. Нас­трой фай­рвол так, что­бы эти пор­ты были дос­тупны толь­ко локаль­но.
• Исполь­зуй VPN при работе с уда­лен­ными сер­верами или ненадеж­ными сетями для шиф­рования тра­фика и защиты от перех­вата.
• Будь вни­мате­лен к ссыл­кам и фай­лам, которые откры­ваешь. Фишинг и вре­донос­ные сай­ты оста­ются самыми популяр­ными спо­соба­ми атак.
• Регуляр­но обновляй ПО: опе­раци­онку, бра­узе­ры, все инс­тру­мен­ты раз­работ­ки. Обновле­ния час­то содер­жат зап­латки, зак­рыва­ющие извес­тные дыры в безопас­ности. Луч­ше пот­ратить час на обновле­ния, чем неделю на вос­ста­нов­ление пос­ле ата­ки.

Новые угрозы: уязвимости EscapeRoute и Filesystem MCP Server

Не успе­ли иссле­дова­тели разоб­рать­ся с CVE-2025-49596, как на горизон­те появи­лись новые, не менее инте­рес­ные уяз­вимос­ти, зат­рагива­ющие Filesystem MCP Server. Спе­циалис­ты Cymulate Research Labs обна­ружи­ли две кри­тичес­кие уяз­вимос­ти, получив­шие наз­вания CVE-2025-53109 и CVE-2025-53110. Они поз­воля­ют зло­умыш­ленни­кам выходить за пре­делы песоч­ницы сер­вера, манипу­лиро­вать любыми фай­лами на хос­те и даже выпол­нять про­изволь­ный код.

Что такое Filesystem MCP Server?

Filesystem MCP Server — это сер­вер Node.js, который поз­воля­ет ИИ‑при­ложе­ниям, таким как Claude Desktop или Cursor, безопас­но выпол­нять фай­ловые опе­рации. Его клю­чевая осо­бен­ность — огра­ниче­ние опе­раций заранее опре­делен­ными «раз­решен­ными дирек­тори­ями». Это дол­жно было соз­дать безопас­ную песоч­ницу, где ИИ может работать с фай­лами, не про­никая туда, куда не сле­дует.

CVE-2025-53110: обход ограничения директорий (Directory Containment Bypass)

Эта уяз­вимость свя­зана с наив­ной про­вер­кой путей к фай­лам — сер­вер смот­рит, начина­ется ли путь с раз­решен­ной дирек­тории (нап­ример, /private/tmp/allowed_dir). Если зло­умыш­ленник хит­ро сос­тавит путь, он может обма­нуть эту про­вер­ку. Это откры­вает неог­раничен­ный дос­туп к лис­тингу, чте­нию и записи за пре­дела­ми пред­полага­емой песоч­ницы. По сути, наруша­ется основная гра­ница безопас­ности сер­вера, откры­вая две­ри для кра­жи дан­ных и потен­циаль­ного повыше­ния при­виле­гий.

CVE-2025-53109: обход симлинков для выполнения кода (Symlink Bypass to Code Execution)

Здесь ата­кующий соз­дает спе­циаль­ную сим­воличес­кую ссыл­ку (сим­линк), которая может ука­зывать на любое мес­то в фай­ловой сис­теме и обхо­дить механизм при­нуди­тель­ного дос­тупа. Это дает пра­ва на чте­ние или запись кри­тичес­ки важ­ных фай­лов и воз­можность внед­рять вре­донос­ный код. В резуль­тате неп­ривиле­гиро­ван­ные поль­зовате­ли могут пол­ностью ском­про­мети­ровать сис­тему.

Другие риски и векторы атак в экосистеме MCP

По­мимо уяз­вимос­тей в MCP Inspector или Filesystem сама архи­тек­тура Model Context Protocol откры­вает новые, порой неоче­вид­ные, век­торы атак. MCP, будучи «USB-C для GenAI», стан­дарти­зиру­ет вза­имо­дей­ствие LLM-при­ложе­ний с внеш­ними инс­тру­мен­тами и дан­ными. Одна­ко эта гиб­кость и динамич­ность порож­дают ряд уни­каль­ных угроз, к которым тра­дици­онные под­ходы к безопас­ности могут быть не готовы.

Отравление контекста через описание инструмента (Poisoned Tool Description)

Этот тип ата­ки исполь­зует воз­можность внед­рения вре­донос­ных инс­трук­ций в метадан­ные инс­тру­мен­та, которые затем обра­баты­вает язы­ковая модель. Зло­умыш­ленник фак­тичес­ки прог­рамми­рует LLM через вход­ные дан­ные.

Пред­ставь сер­вер MCP, который пре­дос­тавля­ет инс­тру­мент для пар­синга веб‑стра­ниц. Если этот инс­тру­мент сле­по доверя­ет дан­ным с внеш­них сай­тов, ата­кующий может внед­рить в заголо­вок стра­ницы скры­тые коман­ды. LLM про­чита­ет эти коман­ды и выпол­нит их, думая, что это легитим­ные инс­трук­ции.

Пример вредоносного заголовка веб-страницы:

Ког­да MCP-инс­тру­мент скрэ­пит эту стра­ницу, он извле­кает заголо­вок и переда­ет язы­ковой модели. Если LLM не обу­чена игно­риро­вать такие скры­тые коман­ды, она может выпол­нить инс­трук­цию curl и отпра­вить твой при­ват­ный ключ SSH на сер­вер зло­умыш­ленни­ка. На сто­роне поль­зовате­ля это может выг­лядеть как обыч­ный вывод, но на сто­роне ата­кующе­го — как успешная эксфиль­тра­ция дан­ных.

Внедрение вредоносного шаблона запроса (Malicious Prompt Template)