Gate News 消息，4 月 21 日——安全公司 OX Security 披露：在 MCP (Model Context Protocol) 中存在一种“设计级”远程代码执行 (RCE) 漏洞。MCP 是用于让 AI 代理调用外部工具的开放标准，由 Anthropic 主导。攻击者可以在任何运行易受攻击的 MCP 实现的系统上执行任意命令，从而访问用户数据、内部数据库、API 密钥和聊天记录。
该缺陷并非源于实现错误，而是源自 Anthropic 官方 SDK 在处理 STDIO 传输时的默认行为——影响 Python、TypeScript、Java 和 Rust 等版本。官方 SDK 中的 StdioServerParameters 会根据配置命令参数直接启动子进程；如果开发者未进行额外的输入净化，那么任何在此阶段到达的用户输入都会变成系统命令。OX Security 识别出四种攻击途径：通过配置接口进行直接命令注入、借助白名单命令参数绕过净化 (例如：npx -c )、在 IDE 中进行提示注入以重写 MCP 配置文件，让像 Windsurf 这类工具在无需用户交互的情况下运行恶意 STDIO 服务，以及通过 MCP 市场中的 HTTP 请求注入 STDIO 配置。
据 OX Security 称，受影响的软件包已被下载超过 1.5 亿次，已有 7,000+ 个公开可访问的 MCP 服务器暴露出多达 200,000 个实例，覆盖 200+ 个开源项目。该团队提交了 30+ 项负责任披露，最终形成 10+ 个高危或严重（critical）的 CVE，覆盖包括 LiteLLM、LangFlow、Flowise、Windsurf、GPT Researcher、Agent Zero 和 DocsGPT 在内的 AI 框架与 IDE；在 11 个测试的 MCP 软件包仓库中，有 9 个可能会被利用这种技术加以攻破。
Anthropic 回应称这是“按设计实现的（by design）”，并将 STDIO 的执行模型称为“安全的默认设计（secure default design）”，同时把输入净化责任转移给开发者，拒绝修改协议或官方 SDK。尽管 DocsGPT 和 LettaAI 已发布补丁，Anthropic 的参考实现仍未改变。随着 MCP 成为访问外部工具的 AI 代理的事实标准——并且已被 OpenAI、Google 和 Microsoft 等采用——任何使用官方 SDK 默认 STDIO 方案的 MCP 服务都可能成为攻击向量，即便开发者编写的是无错误代码。
免责声明：本页面信息可能来自第三方，不代表 Gate 的观点或意见。页面显示的内容仅供参考，不构成任何财务、投资或法律建议。Gate 对信息的准确性、完整性不作保证，对因使用本信息而产生的任何损失不承担责任。虚拟资产投资属高风险行为，价格波动剧烈，您可能损失全部投资本金。请充分了解相关风险，并根据自身财务状况和风险承受能力谨慎决策。具体内容详见
声明。
相关文章
Ant International 为 AI 支付推出开源的 Agentic Mobile Protocol
Gate 新闻消息，4 月 28 日——Ant International 于 4 月 28 日在吉隆坡推出开源的 Agentic Mobile Protocol，以使移动钱包和应用能够支持 AI 代理支付，填补空白，因为大多数现有系统仍依赖传统银行卡网络。
该框架
GateNews1小时前
腾讯云升级企业级智能体（Agent）能力，推出多款人工智能（AI）产品
Gate 新闻消息，4月28日——腾讯云在4月28日于重庆举办的2026腾讯云城市峰会上，宣布对其全栈企业级智能体（Agent）产品能力进行全面升级。公司发布了多款新产品，包括 ClawPro 私有云版本、ADP
GateNews2小时前
中国禁止 Meta 以 20 亿收购 AI 新创 Manus，已要求撤回交易
根据 BBC 和 CNBC 于 4 月 27 日报道，中国国家发展和改革委员会（NDRC）已叫停 Meta Platforms 以约 20 亿美元收购 AI 新创公司 Manus 的交易，NDRC 在声明中要求相关各方撤回收购交易。Meta 发言人表示，该交易“完全符合适用法律”，并期待调查能得到妥善解决。
Market Whisper5小时前
中国以国家安全为由阻止交易后，Meta 拟撤销对 $2B Manus 的收购
Gate 新闻消息，4 月 28 日——在中国以国家安全为由阻止该交易之后，Meta 正准备撤回其对新加坡的 AI 初创公司 Manus 的超过 $2 十亿美元收购。中国商务部在 1 月份就该出售事宜启动了调查，且是在 Meta 完成收购后的数天之内。
GateNews7小时前
Sky 宣布 Laniakea：机构级链上资本配置基础设施
Gate 新闻消息，4月27日——Sky Protocol 宣布开发 Laniakea，这是一套用于在其 Sky Agent Network 上进行机构级资本部署的标准化基础设施框架。该协议目前管理着超过 $11 billion 的 USDS 流通，并通过 DeFi 借贷、私募信贷以及合规的现实世界资产策略产生收益。
GateNews8小时前
Gemini 推出用于 AI 驱动自动化交易的代理式交易
加密交易所 Gemini 已推出 Agentic Trading（代理式交易），标志着首家受监管的美国交易所首次提供用于自动化交易的直接 AI 代理集成。该平台使用户能够连接 Claude、ChatGPT 和其他 AI 模型，以自动化交易策略，从简单挂单到
Crypto Frontier14小时前
