Deadbugz: los metadatos MCP cambian tras la aprobación

Código Fuente: Vulnerable vs. Seguro

El informe describe envenenamiento de metadatos y distribución mediante pull requests, no una CVE de la especificación MCP. El riesgo aparece cuando el cliente sigue confiando en descripciones mutables del servidor después de la aprobación inicial. Pillar atribuye la campaña a una cuenta pública de GitHub; aquí se presenta como una atribución de Pillar, no como identidad real verificada. Pillar indicó que los PR revisados no se habían fusionado mediante el flujo de GitHub en ese momento y no acreditó una intrusión posterior. El repositorio enlazado actualmente devuelve 404, por lo que los detalles se basan en el análisis técnico publicado por Pillar, no en una nueva inspección independiente del árbol de código. El ejemplo Python es una política ilustrativa del cliente, no código listo para sustituir una biblioteca MCP. CWE-829 es una clasificación editorial; no hay CVE ni CVSS. El adaptador debe actualizar los datos tras notificaciones de cambio MCP e incluir tools/list y prompts/get; metadata_snapshot es un método ilustrativo del adaptador, no una API de un SDK MCP. Genere approved_digest solo tras la revisión del operador. La captura debe incluir todos los metadatos relevantes del servidor: definiciones de tools/list y el contenido completo de prompts/get de los prompts aprobados. Vuelva a consultarla antes de ejecutar y detenga la acción si difiere; esta comprobación no detecta cambios de comportamiento del servidor ni cambios entre la verificación y el uso, por lo que siguen siendo necesarias restricciones independientes.^{[1], [4], [5]}

def agent_metadata(session):
    # El adaptador devuelve las herramientas y los prompts actuales del servidor como datos JSON.
    return session.metadata_snapshot()

import hashlib
import hmac
import json

def fingerprint(snapshot):
    normalized = dict(snapshot)
    for key in ("tools", "prompts"):
        normalized[key] = sorted(
            snapshot[key],
            key=lambda item: json.dumps(item, sort_keys=True, separators=(",", ":")),
        )
    canonical = json.dumps(normalized, sort_keys=True, separators=(",", ":"))
    return hashlib.sha256(canonical.encode()).hexdigest()

def agent_metadata(session, approved_digest):
    current = session.metadata_snapshot()
    if not hmac.compare_digest(fingerprint(current), approved_digest):
        raise PermissionError("MCP metadata changed; require operator approval")
    return current