Glow Labs сообщила об исследовании MCPhantom: ИИ-помощники для программирования выбирали и устанавливали заброшенные MCP-серверы — программы, через которые агент подключается к внешним сервисам и инструментам. В этих старых компонентах исследователи обнаружили четыре уязвимости высокой опасности. По их словам, исправлений не ожидается.

Наблюдения сделаны по записям реальных рабочих сессий. Например, на просьбу подключить GitHub агент выбирал старый эталонный сервер вместо поддерживаемого GitHub варианта. Glow встретила такие случаи в нескольких инструментах, включая Claude Code, Cursor и Codex CLI. Авторы связывают выбор со старыми названиями пакетов в обучающих данных, но размер выборки и версии моделей не раскрывают: частоту такого поведения среди всех пользователей оценить нельзя.

Официальный репозиторий этих серверов действительно архивирован с 29 мая 2025 года. В нём прямо указано, что обновлений безопасности и исправлений больше не будет. Среди оставленных для исторической справки реализаций — GitHub, PostgreSQL, Slack и Puppeteer для управления браузером. Изначально они демонстрировали возможности протокола MCP.

Самую опасную найденную проблему Glow описывает в сервере Puppeteer: внедрённая инструкция могла заставить агента запустить на компьютере произвольную программу вместо браузера. В таком сценарии согласие пользователя на работу с браузером фактически распространялось на запуск других команд.

Glow не наблюдала эксплуатации этих уязвимостей. Приведённые в отчёте 17,35 млн скачиваний старых пакетов с июля 2025 года тоже не означают столько же установок или заражений. Существенный риск — в возвращении неподдерживаемого компонента в рабочую среду по выбору помощника, даже без участия атакующего на этапе установки.