詳細を読む
OX Securityの研究者4名が、Anthropicが策定したオープン標準Model Context Protocol（MCP）のSTDIOトランスポートに、設計レベルの深刻な脆弱性を発見しました。MCPはAIエージェントとツールを接続する標準規格として、OpenAIやGoogle DeepMindも採用し、ダウンロード数は1億5000万回を超えています。STDIO転送はローカルツール接続の既定方式ですが、受け取ったOSコマンドをサニタイズなしにそのまま実行する仕組みになっています。
研究チームは公開IPアドレス上で7000台のSTDIO有効サーバを発見し、全体では約20万台が脆弱な状態にあると推計しました。6つの本番プラットフォームで任意コマンド実行を実証し、LiteLLM、LangFlow、Flowise、Windsurf、DocsGPTなど主要製品にわたる10件超の高・重大CVEが発行されています。特にWindsurfでは、開発者が攻撃者のウェブサイトを訪問するだけで、ユーザ操作なしにローカルのMCP設定が書き換えられ、コード実行に至るゼロクリック攻撃が確認されました。
Anthropicはこの挙動を「仕様通り（expected）」と回答し、プロトコルの修正を拒否しました。同社の論理では、STDIO はローカルプロセスを起動するための転送方式であり、設定ファイルへの書き込み権限を持つ者は当該マシンでのコマンド実行権限も有しているため、入力のサニタイズは開発者側の責任であるとしています。一方OX Securityは、20万人の開発者全員に正しいサニタイズを期待すること自体が問題だと反論しています。
Cloud Security Allianceも独自にOXの調査結果を確認し、MCP接続インフラを「アクティブな未パッチの脅威」として扱うよう勧告しました。製品レベルのパッチは個別の侵入経路を塞ぐものの、プロトコル自体のSTDIO動作は変更されないため、新しいMCPサーバを構成すれば同じ脆弱性を引き継ぎます。セキュリティ専門家は、全MCP STDIO設定を未信頼の入力として扱い、サンドボックス隔離を徹底するよう呼びかけています。