Hacker News · AI· zomtorg·· 4 小时前精选AI 评分72
AI 编程智能体频现自动安装已废弃且含安全漏洞的 MCP 服务
AI coding agents are installing abandoned MCP servers with known security issues
AI 导读
Glow Labs 研究发现，AI 编程智能体在配置外部服务时，有 98% 的情况会基于训练数据记忆自动安装已废弃的早期 MCP 服务，而非官方最新版本。这些已归档的服务包括 Anthropic 最初推出的参考实现，共涉及 4 个高危漏洞，其中 Puppeteer 服务存在远程代码执行（RCE）漏洞，攻击者可借由提示词注入在宿主机执行任意命令。
推荐理由
研究揭示了编程智能体因训练数据残留而自动安装已废弃MCP服务的供应链安全隐患，为企业终端的AI安全策略提供了治理参照。
来源：Hacker News · AI · glow.io