Deadbugz: metadados de ferramentas MCP mudam após aprovação

Código-Fonte: Vulnerável vs. Seguro

O relatório descreve envenenamento de metadados e entrega por pull request, não uma CVE na especificação MCP. O risco surge quando o cliente continua confiando em descrições mutáveis fornecidas pelo servidor após a aprovação inicial. A Pillar atribuiu a campanha a uma conta pública do GitHub; este artigo apresenta isso como uma conclusão da Pillar, não como identidade real verificada. A empresa disse que os PRs analisados não haviam sido mesclados pelo fluxo de PR do GitHub naquele momento e não confirmou comprometimento posterior. O repositório de código referenciado atualmente retorna 404; por isso, os detalhes técnicos dependem da análise publicada pela Pillar, não de uma nova leitura independente do código. O exemplo Python é uma política ilustrativa no cliente, não um trecho pronto para substituir uma biblioteca MCP. CWE-829 é uma classificação editorial; não há CVE nem CVSS. O adaptador deve atualizar os dados após notificações de mudança MCP e incluir tools/list e prompts/get; metadata_snapshot é um método ilustrativo do adaptador, não uma API de SDK MCP. Gere approved_digest somente após revisão do operador. O snapshot deve incluir todos os metadados relevantes fornecidos pelo servidor, incluindo definições de tools/list e o conteúdo completo de prompts/get dos prompts aprovados. Atualize antes de despachar e interrompa a ação se houver divergência; essa verificação não detecta mudanças no comportamento do servidor nem alterações entre a checagem e o uso, portanto permissões independentes continuam necessárias.^{[1], [4], [5]}

def agent_metadata(session):
    # O adaptador retorna as ferramentas e os prompts atuais do servidor como dados JSON.
    return session.metadata_snapshot()

import hashlib
import hmac
import json

def fingerprint(snapshot):
    normalized = dict(snapshot)
    for key in ("tools", "prompts"):
        normalized[key] = sorted(
            snapshot[key],
            key=lambda item: json.dumps(item, sort_keys=True, separators=(",", ":")),
        )
    canonical = json.dumps(normalized, sort_keys=True, separators=(",", ":"))
    return hashlib.sha256(canonical.encode()).hexdigest()

def agent_metadata(session, approved_digest):
    current = session.metadata_snapshot()
    if not hmac.compare_digest(fingerprint(current), approved_digest):
        raise PermissionError("MCP metadata changed; require operator approval")
    return current