MCP 协议的设计性 RCE：当 150M 下载量的基础设施本身就是漏洞

OX Security 披露 MCP 架构级远程代码执行漏洞，200K+ 服务器暴露，Anthropic 承认 'by design'——AI Agent 生态的供应链安全问题已经不能再拖了。

工程实践 MCP 安全 AI Agent 供应链攻击 RCE LLM工程

通常，安全漏洞是 bug。有人写错了代码，补丁修掉它，世界继续转。

4 月 15 日，OX Security 发布的报告说的不是 bug。他们说的是：Anthropic 的 MCP（Model Context Protocol）本身的架构设计，就是漏洞所在。

Anthropic 的回应也印证了这个判断：他们说这是 expected behavior。

漏洞的根源

MCP 使用 STDIO 传输层来运行 MCP Server。标准的模式是：AI agent 调用工具 → 工具配置通过 StdioServerParameters 传递参数 → 实际上在系统上执行 shell 命令。

问题是，如果用户输入能够流入 StdioServerParameters 的配置字段，那么用户就可以执行任意命令。这不是边缘 case——这是整个 STDIO 执行模型的基础假设：传进来的参数是可信的。

OX Security 的核心发现：

  • 攻击向量有四种：未认证 UI 注入、“受保护”环境的硬化绕过、零点击 prompt injection（Windsurf、Cursor）、恶意 MCP 注册表投毒（11 个 MCP 注册表中有 9 个被成功投毒）
  • 暴露规模：150M+ 下载量，7,000+ 公开服务器，最多 200,000 个漏洞实例
  • 真实利用：在六个生产平台上成功执行命令
  • 10 个 CVE：受影响包括 LiteLLM、LangChain、IBM LangFlow、Cursor（CVE-2026-30615，零点击）、Windsurf

“This is not a traditional coding error. It is an architectural design decision baked into Anthropic’s official MCP SDKs across every supported programming language, including Python, TypeScript, Java, and Rust.” — OX Security, The Architectural Flaw at the Core of Anthropic’s MCP

Anthropic 的立场

OX Security 多次建议 Anthropic 在协议层做根本性修复——比如强制 manifest-only 执行或 command allowlist——一个协议级变更本可以即时保护所有下游库和项目。

Anthropic 的回应是：协议设计行为符合预期，sanitization 是开发者的责任，不修改协议架构。

这个立场从商业角度可以理解（向后兼容、不打破现有生态），但从安全角度来说存在严重问题：当根因在协议层而开发者普遍没有意识时，把责任推给下游开发者实际上等于没有保护。

讽刺的是，Anthropic 同期发布了 Claude Mythos——一个专门用于软件安全漏洞挖掘的模型。OX Security 在报告末尾也提到了这一点：如果 Anthropic 要用 AI 来保护世界的软件，不妨先从自己创造的 AI 供应链开始。

和 Mercor 泄露的关联

这篇文章写作期间，Mercor 4TB 数据泄露事件还在发酵（见本站另一篇）。那次攻击的入口是 LiteLLM 的供应链攻击，而 CVE-2026-30623 就在 OX Security 的 MCP RCE 报告中。

这两个事件合在一起说明了一件事：AI 工具链的供应链安全，现在是一个真实的、活跃的攻击面。

不是理论上的，是已经在发生的。

工程师现在应该做什么

根据 OX Security 的建议，以及 Mercor 泄露的经验，几个立即可操作的防护措施：

  1. 不要把用户输入传入 MCP STDIO 配置。如果做不到，只允许预配置的命令白名单。
  2. MCP 服务不要暴露公网。LLM 工具服务器通常连接着高权限 API 和数据库，暴露公网是极高风险。
  3. 只用官方 MCP 目录。OX 的测试里 9/11 个 MCP 注册表可以被投入恶意 server——市场上充满了来源不明的 MCP 包。
  4. 在沙箱里跑 MCP 服务。限制磁盘访问和 shell 执行权限。
  5. 监控工具调用日志。注意任何向未知外部 URL 发请求的后台活动。
  6. 立即更新：LiteLLM（CVE-2026-30623）、BishengAI（CVE-2026-33224）、DocsGPT（CVE-2026-26015）都已出补丁。

MCP 作为 AI agent 的通信标准正在快速成为基础设施，这意味着它的安全假设也将成为整个生态系统的安全基线。基础设施不安全，建在上面的 agent 都是沙子上的楼。

这件事现在是工程师必须知道的，不是等着以后再看的可选项。