AIコーディングエージェント、廃止済みで脆弱性を含むMCPサービスを自動インストールする事例が多発

Glow Labsの調査によると、AIコーディングエージェントが外部サービスを設定する際、98%のケースで公式の最新バージョンではなく、学習データの記憶に基づいて廃止済みの初期MCPサービスを自動インストールすることが判明した。これらのアーカイブされたサービスにはAnthropicが当初リリースしたリファレンス実装が含まれ、計4件の高重大度な脆弱性が存在。そのうちPuppeteerサービスにはリモートコード実行（RCE）の脆弱性があり、攻撃者がプロンプトインジェクションを介してホスト上で任意のコマンドを実行できる可能性がある。