Закреплённый MCP-сервер Corelight менял 23 зависимости без изменения конфигурации
Инженер Corelight Джеймс Лагерманн обнаружил, что MCP-сервер, настроенный на одну фиксированную версию на рабочей станции администратора, за пять недель работал с 15 различными наборами зависимостей. Конфигурация при этом не менялась.
Иллюстрация: helpnetsecurity.com
Главное в цифрах
- Наборов зависимостей за пять недель: 15
- Пакетов сервера: 69
- Пакетов с изменившейся версией: 23
Что произошло
Лагерманн, директор по техническим альянсам Corelight, обнаружил этот дрейф в лаборатории компании. Версии изменились у 23 из 69 пакетов сервера, включая криптографическую библиотеку, библиотеку JSON Web Token и сам SDK MCP.
MCP (Model Context Protocol) позволяет ИИ-ассистентам для программирования обращаться к внешним инструментам и данным.
Что это значит для специалистов
Простая фиксация версии сервера не гарантирует стабильного состава его зависимостей. Такие изменения стоит проверять отдельно.
Нашли ошибку или есть что добавить? Напишите редакции
Источник: helpnetsecurity.com
