Mcp

Pillar Security เปิดเผยช่องโหว่ใน OpenCode เอเจนต์เขียนโค้ด AI ที่ให้เซิร์ฟเวอร์ MCP อันตรายรันคำสั่งบนเครื่องนักพัฒนา Windows และ WSL ได้ ช่องโหว่เกิดเมื่อ OpenCode ส่งที่อยู่ OAuth ที่เซิร์ฟเวอร์กำหนดเข้าคำสั่ง PowerShell โดยไม่ escape ระหว่างขั้นตอนล็อกอิน Pillar ให้คะแนนเสนอ 9.8 แต่ Anomaly แก้เงียบในเวอร์ชัน 1.18.33 โดยไม่ขอ CVE หรือออก advisory เวอร์ชัน 1.0.137 ถึง 1.18.32 จึงเสี่ยงโดยสแกนเนอร์ไม่แจ้งเตือน ยังไม่พบการโจมตีจริง

Langflow แพลตฟอร์มโอเพนซอร์สสร้างแอป AI มีช่องโหว่ CVE-2026-105740 คะแนน CVSS 9.9 ในเวอร์ชันก่อน 1.9.0 ที่ถูกโจมตีจริงแล้ว ผู้ใช้ที่ล็อกอินได้ แม้ไม่ใช่แอดมิน เพิ่ม MCP server แบบ stdio ที่ใส่คำสั่งอะไรก็ได้ แล้วคำสั่งจะรันทันทีเมื่อเรียกดูรายการเซิร์ฟเวอร์ honeypot ของ Previdian บันทึกความพยายามโจมตี 1,706 ครั้งจาก 28 IP ตั้งแต่ 19 ก.ย. 2569 ผู้โจมตีล็อกอินด้วยรหัสผ่านที่เดาง่ายแล้วพยายามดึง secret key และรหัสผ่าน superuser ผู้ดูแลควรอัปเดต ปิด auto-login และไม่เปิด Langflow สู่อินเทอร์เน็ต

Elastic Security Labs พบโครงการบ่มเพาะ Web3 ปลอมชื่อ Apex ใช้แพ็กเกจ npm อันตราย @apexacc/cli และ @apexacc/audit ล่อผู้ก่อตั้งสตาร์ทอัปคริปโตด้วยเครดิต AI ฟรี เครื่องมือเขียนโค้ด และบริการตรวจสัญญาอัจฉริยะ การรันแพ็กเกจปล่อยมัลแวร์ขโมยข้อมูลบน Windows และแบ็กดอร์ CloudSyncD บน macOS เครื่องมือ Apex Copilot ยังเปลี่ยนเส้นทางคำขอ AI และเพิ่มเซิร์ฟเวอร์ MCP ของผู้โจมตีเพื่อดูดโค้ดและบทสนทนา ส่วนเครื่องมือตรวจสัญญาทั้ง 18 ตัวคืนผลปลอมทั้งหมด

นักวิจัยจาก Penn State, Université Montpellier และ Dartmouth เปิดตัวเฟรมเวิร์ก ToFu สำหรับ fuzzing เครื่องมือของ AI agent บนเซิร์ฟเวอร์ MCP จากการทดสอบเซิร์ฟเวอร์โอเพนซอร์ส 273 ตัวที่มีเครื่องมือ 3,405 รายการ พบช่องโหว่ที่ยืนยันแล้ว 253 รายการ กระทบเครื่องมือ 343 รายการใน 118 เซิร์ฟเวอร์ ปัญหาหลักคือ path traversal, log injection, การรั่วข้อมูล และการเลี่ยงข้อจำกัดคำสั่ง ทีมวิจัยยังสาธิตการโจมตี Repeat-After-Me ที่หลอกให้ orchestrator รันข้อความเป็นคำสั่งเรียกเครื่องมือได้ใน 6 เฟรมเวิร์ก

ผู้เชี่ยวชาญหลายรายเตือนผ่าน Dark Reading ว่าเมื่อองค์กรให้เอเจนต์ AI มีสิทธิ์ทำงานในระบบธุรกิจ ผู้โจมตีจะหันมาหลอกเอเจนต์แทนพนักงานในรูปแบบเดียวกับ BEC เครื่องมือหลักคือ prompt injection ทั้งแบบตรงและแบบแฝงในเว็บหรืออีเมล เพื่อสั่งให้เอเจนต์แก้ข้อมูลผู้ขาย เปลี่ยนบัญชีรับเงิน หรือดึงข้อมูลสำคัญ ผู้เชี่ยวชาญแนะนำให้ถือเอเจนต์เป็นตัวตนที่ต้องทำบัญชีคุม วางการควบคุมไว้นอกตัวเอเจนต์ และให้มนุษย์อนุมัติงานเสี่ยงสูง

บริษัท CloudSEK พบแอฟฟิลิเอตแรนซัมแวร์ชื่อ Azazel ที่ทำงานร่วมกับกลุ่ม The Gentlemen ลงทะเบียน reverse shell เป็นเครื่องมือในผู้ช่วยเขียนโค้ด AI ผ่าน MCP แล้วใช้สั่งงานในเครือข่ายเหยื่อจริง แคมเปญกระทบกว่า 20 องค์กรใน 6 ประเทศ ส่วนใหญ่เริ่มจากความลับที่ขโมยจาก GitLab pipeline และประวัติ repository เหยื่อรายหนึ่งเสียข้อมูลทะเบียนการเงินกว่า 120,000 รายการ ส่วนแพลตฟอร์ม AI การแพทย์ถูกเจาะผ่าน SSRF และถูกดูดข้อมูลเกิน 6 TB

ทีมผู้ดูแล MCP Python SDK ออกประกาศเตือนช่องโหว่ที่ยอมให้เซิร์ฟเวอร์ MCP อันตรายหลอกแอปพลิเคชันฝั่งไคลเอนต์ส่ง client secret, authorization code และ PKCE ไปยัง token endpoint ของผู้โจมตี ผู้โจมตีจึงนำไปขอ access token ที่ใช้งานได้จริงจากบริการล็อกอินตัวจริง ช่องโหว่ได้คะแนนสูงสุด 7.5 และยังไม่มี CVE ณ วันที่ 29 กันยายน บริษัท Cycode เป็นผู้รายงานและสาธิตการขโมยได้สำเร็จ แก้ไขแล้วในเวอร์ชัน 1.30.0 และ 2.2.0

ช่องโหว่ร้ายแรง CVE-2026-90898 (CVSS 9.8) ใน Bifrost เกตเวย์ AI แบบโอเพนซอร์สที่ส่งต่อคำขอไปยังผู้ให้บริการ LLM กว่า 20 ราย เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันคำสั่งบนเซิร์ฟเวอร์เกตเวย์ได้ด้วยคำขอ HTTP เพียงครั้งเดียว ช่องโหว่กระทบ HTTP transport ทุกเวอร์ชันก่อน 2.1.0 เมื่อปิดการยืนยันตัวตนฝั่งจัดการ ซึ่งเป็นค่าเริ่มต้น เนื่องจากเกตเวย์เก็บ API key ของผู้ให้บริการทุกราย การรันคำสั่งได้จึงเท่ากับได้กุญแจเหล่านั้นไปด้วย

Anthropic เพิ่มเอนด์พอยต์ Compliance API สำหรับเซสชัน Claude Code ที่รันบนเครื่องผู้พัฒนา เปิดตัวเมื่อ 11 สิงหาคม 2569 ให้ทีมความมั่นคงเห็นบทสนทนาและการใช้เครื่องมือของเอเจนต์ได้ชัดขึ้น เอเจนต์แบบ local รันคำสั่งบนเครื่องและสืบทอดสิทธิ์ของพนักงาน จึงกำกับดูแลยากเพราะไม่มีคอนโซลกลาง บทความชี้ว่าการกำกับดูแลต้องอาศัยสามชั้น ได้แก่ managed settings, Compliance API และการเก็บข้อมูลที่ปลายทาง แต่ทั้งสามชั้นยังไม่พอหากไม่ผูกกิจกรรมเข้ากับตัวตนและเจตนาของเอเจนต์

บทวิเคราะห์ชี้ว่า MCP server ซึ่งเป็นตัวกลางให้ AI agent เข้าถึงเครื่องมือและข้อมูลขององค์กร กลายเป็นจุดรวมข้อมูลยืนยันตัวตนโดยที่ทีมความปลอดภัยมักไม่รู้ว่ามันทำงานอยู่ เส้นทางที่ความลับรั่วมีทั้งไฟล์ตั้งค่าที่เก็บโทเคนเป็นข้อความธรรมดา การกระจัดกระจายของ credential ที่ไม่มีใครหมุนเวียน การให้สิทธิ์เกินจำเป็น และ prompt injection ที่หลอกให้ agent ส่งมอบความลับ กรณี CVE-2025-6514 ใน mcp-remote คือตัวอย่างที่เกิดขึ้นจริงแล้ว