Una técnica llamada GhostSplice demuestra cómo un servidor Model Context Protocol (MCP) malicioso puede llevar a un agente de programación a exfiltrar claves SSH, secretos de entorno y código fuente. No es un ataque remoto contra el modelo: es un problema de cómo integramos herramientas dentro del propio entorno de desarrollo.

Cómo funciona GhostSplice

La idea es engañosamente simple. En lugar de enviar una orden directa del tipo «envía las claves», el servidor trocea la instrucción y la reparte entre los metadatos de sus herramientas y las respuestas que devuelve en interacciones posteriores. Cada fragmento, por separado, parece texto operativo o información inofensiva. Pero el agente interpreta esas descripciones y respuestas como contexto fiable, las recombina dentro de la conversación y termina ejecutando el plan completo sin detectar una orden claramente maliciosa.

Los números no dejan lugar a dudas

En pruebas controladas con once modelos, dividir la instrucción en dos partes elevó la tasa de cumplimiento promedio del 42% al 82%. Más preocupante aún: modelos que antes se negaban de forma consistente pasaron de 0% a 100% de cumplimiento. El riesgo, por tanto, no depende solo del modelo: depende del cliente, de cómo integra las herramientas y de si cada texto devuelto por una herramienta se convierte, de facto, en guía de acción dentro del agente.

Qué se puede robar y qué condiciones necesita

La demostración incluye la fuga de claves SSH, archivos .env, código propietario y documentos con datos sensibles, usando plantillas y campos aparentemente neutros que resuelven rutas reales del sistema. Es importante acotar el alcance: GhostSplice no compromete agentes por sí solo. Necesita dos condiciones previas: que un desarrollador conecte el servidor MCP del atacante y que el agente ya disponga de permisos de lectura sobre los ficheros que se pretenden sustraer.

La divulgación no incluye un CVE y tiene un carácter defensivo, pero encaja con avisos recientes sobre envenenamiento de herramientas MCP y ataques de agentjacking que ya advirtió Microsoft. El patrón se repite: contenido procedente de servicios externos, recibido vía MCP, acaba interpretándose como instrucciones de resolución y puede derivar en filtraciones silenciosas o incluso en ejecución de código si el flujo de herramientas lo permite.

Mitigaciones: decisiones de ingeniería, no confianza

• Inventariar y restringir los servidores MCP permitidos; desactivar las integraciones de terceros por defecto.
• Aplicar mínimo privilegio en el número de herramientas habilitadas y en su alcance.
• Tratar las descripciones de herramientas como material de alto riesgo: control de versiones, revisión y alertas ante modificaciones inesperadas.
• Separar datos e instrucciones: si la salida de una herramienta alimenta sin validación los argumentos de otra, se abre un carril para recomponer órdenes en varias etapas.
• Introducir aprobación humana en operaciones con capacidad de exfiltración: lecturas masivas, acceso a rutas sensibles, exportaciones o envíos a endpoints externos.
• Limitar el acceso del agente a directorios como .ssh, credenciales y ficheros .env.
• Controlar el tráfico saliente con destinos permitidos y vigilancia de volúmenes anómalos.
• Registrar en detalle las llamadas a herramientas, argumentos, recursos leídos y destinos de red, e introducir canarios o señuelos que disparen alertas.
• Formar al equipo: conectar un servidor MCP «porque funciona» ya no es un gesto inocente.

Conclusión

GhostSplice recuerda que en arquitecturas donde el contenido externo se convierte en instrucciones, la seguridad recae en el diseño del cliente y en las barreras que pongamos alrededor del agente. Inventario, mínimo privilegio, separación de datos e instrucciones y supervisión humana de las operaciones sensibles marcan la diferencia entre un asistente útil y una vía de fuga con aspecto de herramienta.

Fuente: Una Al Día (Hispasec) · The Hacker News