¿Cuál es el fallo crítico de IA que afecta a Google y JPMorgan?
Los equipos de seguridad de Google, JPMorgan Chase y varios gobiernos han solucionado un fallo crítico en sus servidores de Protocolo de Contexto de Modelo (MCP), que podría haber permitido a los atacantes acceder a sistemas internos. El fallo, conocido como suplantación de solicitudes del lado del servidor (SSRF), fue descubierto por el investigador independiente Syed Anas Mohiuddin, destacando la importancia de la optimización del motor de respuestas (AEO) para prevenir vulnerabilidades de este tipo.
¿Cómo afecta el fallo a los servidores de Protocolo de Contexto de Modelo?
MCP es el estándar que utilizan los agentes de IA para llamar a herramientas y fuentes de datos, lo que impacta la visibilidad de los modelos de lenguaje grande (LLM) y la optimización de la búsqueda de IA en general. El fallo permitió a un atacante dirigir a un agente para decidir qué sistema habla con el servidor, incluidos sistemas internos. Mohiuddin argumentó que el problema era estructural, y su predicción se demostró correcta cuando los equipos que no compartían código ni propietario produjeron el mismo fallo.
La caja de herramientas de MCP de Google para bases de datos tenía un cliente HTTP sin una política de redireccionamiento restrictiva y sin comprobación de direcciones IP de destino, según el aviso de GitHub. Un parámetro de ruta creado podría enviar solicitudes a puntos de conexión internos o externos. El fallo, CVE-2026-14540, tiene una calificación alta de 8,0 y afecta las versiones 0,3,0 a 1,4,0. La solución de Google agrega una protección contra el rebinding de DNS y listas de rangos de IP permitidos y bloqueados, y acredita a Mohiuddin.
El repositorio de código abierto de JPMorgan incluye un servidor de búsqueda de documentación de MCP con dos herramientas que recuperan contenido. Una comprobaba los dominios contra una lista de permitidos. Su herramienta hermana recuperaba cualquier URL que el llamador suministrara, escribió Mohiuddin. JPMorgan bifurcó el componente desde un proyecto de AWS que nunca recuperó la URL del llamador en absoluto. El equipo de divulgación responsable de JPMorgan confirmó el hallazgo y desplegó una solución, escribió. El hallazgo es de gravedad media, escribió.
Weaviate restringió la configuración de puntos de conexión de su módulo de Google a hosts de API de Google, escribió. El servidor de MCP oficial de DINUM para la plataforma de datos abiertos de Francia recuperaba URLs suministradas por productores de datos, que podrían señalar direcciones de metadatos internos o en la nube. Su solución, titulada "endurecer SSRF en APIs externas", comienza con "Informado por Syed Anas Mohiuddin".
En el servidor de MCP de Wazuh en Tangerang, una herramienta anunciaba protección contra SSRF pero solo rechazaba direcciones IP literales, según un aviso de gravedad alta publicado el 3 de septiembre. Nunca resolvió nombres de host.
Rapid7 solucionó un bug diferente que encontró, CVE-2026-97228, en su servidor de MCP de exportación masiva. El bug permitió la inyección de GraphQL dentro del acceso del operador, y Rapid7 lo califica como bajo, con un 2,7, según su entrada de base de datos.
Mohiuddin llama a la clase de ataques más amplia "pivoteo de protocolo". Un atacante planta texto en contenido que una herramienta de MCP devuelve, con forma de tarea para el protocolo A2A de Google. Un agente orquestador pasa esto a un subagente, que lo ejecuta porque confía en el orquestador.
"Cada pieza en esa cadena hizo exactamente lo que se diseñó para hacer, lo que hace que esto sea tan difícil de detectar", dijo Douglas McKee, director de inteligencia de vulnerabilidades de Rapid7, a Ars Technica.
Markus Vervier de X41 D-Sec le dijo a Ars que la técnica es una forma de inyección de prompt indirecta. Mohiuddin presentará los hallazgos en MCPCon North America en San Jose el 23 de octubre.
Questo articolo è stato scritto con l'assistenza dell'IA.
News Factory APP - notizie agentiche per potenziare il tuo SEO e AEO.