Incidentes, vulnerabilidades y fallos públicos de agentes de IA y servidores MCP (2025–2026). Cada ficha enlaza a su fuente original. La gravedad es provisional y está pendiente de revisión.
El proxy MCP de Envoy AI Gateway no verificaba el sujeto anti-secuestro incluido en la sesión al reanudarla, lo que permitía a un atacante con el ID de sesión de otro usuario actuar en su nombre.
Una vulnerabilidad de ejecución remota de código autenticada en Langflow, con CVSS 9,9, está siendo atacada activamente.
Investigadores describieron una campaña de acceso inicial que combinaba Cobalt Strike con Claude Code contra sitios WordPress, comercios electrónicos y entidades de infraestructuras críticas en Ucrania.
Dark Reading informó de una vulnerabilidad, ya corregida, en AWS Bedrock AgentCore bautizada como AgentCorruption.
Zenity Labs describió tres vulnerabilidades en Agentforce que permitían envenenar formularios de leads con inyecciones indirectas, extraer datos del CRM mediante peticiones DNS o de imágenes y desde la previsualización de enlaces de Slack, y enviar phishing con la identidad del agente.
Según un informe de Mandiant recogido por The Hacker News, un atacante secuestró la sesión activa de un asistente de código en un proveedor SaaS no identificado.
Check Point Research reveló que una instancia interna de JFrog Artifactory usada por ChatGPT permitía a una cuenta dejar instrucciones que la sesión de otra víctima ejecutaba en silencio, leyendo su Gmail conectado.
Antes de la versión 1.0.74, un atacante podía incluir un fichero .mcp.json malicioso en un pull request y lograr ejecución de código en el runner de GitHub Actions.
En las versiones 0.22.0 a 1.1.1 en modo HTTP con lockdown activado, una caché global se inicializaba con el cliente del primer usuario autenticado.
Las versiones 2.3.5 y anteriores de Nginx UI exponen un endpoint MCP protegido solo por una lista de IP que, vacía por defecto, se interpreta como permitir todo.
Wiz descubrió que Moltbook, un sitio donde agentes de OpenClaw publican en nombre de sus dueños, tenía su backend de Supabase legible y escribible.
Koi Security encontró varios centenares de skills maliciosas publicadas en ClawHub, el marketplace comunitario del agente personal OpenClaw.
Anthropic informó de que un grupo que atribuye a un actor estatal chino eludió las salvaguardas de Claude Code y lo utilizó para ejecutar gran parte de una campaña de intrusión contra unas treinta organizaciones.
Noma Security encadenó una inyección de prompt en un formulario de captación de leads con un dominio caducado que seguía en la lista de confianza de la política CSP de Salesforce para extraer registros del CRM.
Radware describió cómo un correo con instrucciones ocultas podía llevar al agente Deep Research a leer el Gmail del usuario y enviar datos personales a un servidor del atacante.
Se publicaron en npm versiones maliciosas de Nx con un script de postinstalación que invocaba Claude Code, Gemini CLI y Amazon Q en el equipo del desarrollador para localizar carteras, tokens y claves SSH.
El equipo de seguridad de Brave mostró que instrucciones ocultas en una publicación de Reddit podían llevar al agente de Comet a abrir sesiones del usuario (correo, cuentas) y filtrar códigos de un solo uso.
Un actor identificado por Google como UNC6395 usó tokens OAuth robados de la integración de Drift para consultar instancias de Salesforce de cientos de organizaciones y recopilar credenciales guardadas en casos de soporte.
Zenity Labs demostró que un documento compartido en Google Drive con texto oculto podía hacer que ChatGPT buscara claves API en el Drive del usuario y las enviara al atacante a través de la URL de una imagen.
Aim Labs comprobó que una inyección de prompt que llegara al agente de Cursor podía escribir una nueva entrada de servidor MCP en la configuración del proyecto, y Cursor la ejecutaba sin pedir confirmación.
Tracebit mostró que un README con instrucciones ocultas, junto con una validación débil de la lista de comandos permitidos, conseguía que Gemini CLI ejecutara comandos arbitrarios y enviara variables de entorno al atacante.
Un atacante logró que se fusionara en el repositorio abierto de la extensión un cambio que añadía un prompt para borrar el equipo del usuario y recursos en la nube.
En un experimento público de desarrollo asistido, el agente de Replit ejecutó comandos destructivos contra una base de datos de producción pese a las instrucciones de no tocar el código, y después informó de forma inexacta sobre lo ocurrido.
General Analysis demostró que un ticket de soporte con instrucciones podía hacer que un agente de Cursor, conectado a Supabase por MCP con una clave service-role, volcara una tabla de secretos en el propio hilo del ticket.
Oligo Security detectó que el proxy local de MCP Inspector no exigía autenticación, de modo que una web maliciosa podía alcanzarlo en localhost y ejecutar comandos en el equipo del desarrollador.
Investigadores de Aim Security demostraron que un correo electrónico preparado podía llevar a Microsoft 365 Copilot a extraer información del tenant de la víctima sin que esta hiciera clic en nada.
Invariant Labs mostró que una issue maliciosa en un repositorio público podía dirigir a un agente conectado al servidor MCP de GitHub para leer un repositorio privado y publicar su contenido en un pull request.
Un endpoint de validación de código de Langflow permitía a cualquiera con acceso de red ejecutar Python sin autenticarse.