Welcome to the Jungle: What We Found Inside 15,465 Public MCP Servers
The Hacker News · 6 oct, 13:02
Investigadores de OX Security analizaron 15.465 servidores públicos de MCP (Model Context Protocol) y encontraron una ausencia total de control de seguridad en los marketplaces que los distribuyen. El 15,6 % de los servidores resuelven a infraestructuras fuera de EE.UU., algunos en China y Rusia, mientras que el 2,3 % usan dominios caducados que podrían ser secuestrados por atacantes. Sin verificación de código, firma digital ni auditoría, la cadena de suministro de IA corporativa queda expuesta a inyecciones de prompts y exfiltración de datos.
El análisis cubrió 5.095 nombres de host únicos procedentes de 5 registros de MCP diferentes. Más allá de la geolocalización, el 0,45 % de los servidores enrutan tráfico a través de servicios de tunelización en máquinas personales, principalmente ngrok gratuito, sin garantías de gobernanza. El protocolo MCP permite que servidores remotos ejecuten código backend completamente diferente del que aparece en el repositorio público, lo que significa que una revisión de código no revela necesariamente qué corre realmente en producción.
Los investigadores demuestran en su informe completo un proof-of-concept de inyección de prompts y escenarios de amenaza. Señalan que las empresas han gastado una década construyendo gobernanza estricta para la nube pública (reglas de residencia de datos, límites Zero Trust, IAM granular), pero las conexiones MCP frecuentemente quedan fuera de estos controles. Sin vetting de marketplaces, firma de código y verificación de origen, la superficie de ataque de IA en la nube corporativa crece sin fricción.
Puntos clave
- 15.465 servidores MCP públicos analizados sin ningún tipo de revisión o gobernanza de seguridad
- 15,6 % de los servidores resuelven fuera de EE.UU.; 19 en China y 18 en Rusia
- 2,3 % usan dominios caducados que cualquiera puede registrar y secuestrar
- 0,45 % ejecutan desde máquinas personales mediante ngrok-free sin control de residencia de datos
- Servidores remotos pueden ejecutar código distinto del repositorio público visible