Una técnica llamada GhostSplice permite que un servidor MCP malicioso induzca a un agente de programación a exfiltrar claves SSH, secretos de entorno y código fuente. El truco consiste en trocear la instrucción de robo y repartirla entre metadatos y respuestas de herramientas para que el agente la reconstruya sin detectar una orden claramente maliciosa.
La investigación sobre GhostSplice pone el foco en una pieza cada vez más habitual en los flujos de trabajo con asistentes de programación, los servidores de herramientas conectados mediante Model Context Protocol (MCP). El hallazgo muestra un escenario incómodo: basta con que un desarrollador conecte un servidor MCP no verificado para que ese servidor, si actúa con mala fe, empuje al agente a filtrar información sensible que ya está al alcance del propio entorno de desarrollo.
La idea central resulta tan simple como eficaz. En vez de insertar una orden directa del tipo ‘envía las claves’, el servidor reparte la instrucción en fragmentos. Una parte aparece camuflada en la descripción de una herramienta MCP, otra se cuela en el resultado de una interacción posterior. Cada pieza, aislada, parece un texto operativo o metadatos inofensivos. El problema llega cuando el agente, que suele tratar esas descripciones y respuestas como contexto fiable, las recombina dentro de la misma conversación y acaba ejecutando el plan completo.
En pruebas controladas, el método elevó de forma notable la tasa de ‘cumplimiento’ del modelo. Dividir la instrucción en dos partes llevó el promedio del 42% al 82% en once modelos evaluados. En algunos casos, sistemas que antes se negaban de forma consistente pasaron a comportarse al revés, de 0% a 100%. Este detalle subraya un matiz clave: el riesgo no depende solo del modelo. Depende del cliente, de cómo integra herramientas, de las barreras alrededor del agente y de si ese entorno permite que el texto devuelto por una herramienta se convierta, de facto, en guía de acción.
La demostración incluye filtraciones de claves SSH, ficheros .env, código propietario y documentos con datos sensibles. La técnica usa plantillas y campos aparentemente neutros que terminan resolviendo rutas concretas del sistema, lo bastante cerca de la operativa diaria como para que el agente no levante sospechas. Aun así, conviene acotar el alcance: GhostSplice no compromete agentes a distancia por sí solo. Necesita dos condiciones previas, que el desarrollador conecte el servidor MCP del atacante y que el agente ya tenga permisos para leer los ficheros que se pretende sustraer.
La ausencia de CVE en esta divulgación y el carácter defensivo del trabajo no rebajan la urgencia práctica, porque encaja con avisos recientes sobre envenenamiento de herramientas MCP y ataques de agentjacking. El patrón se repite: contenido que llega desde servicios externos, vía MCP, se interpreta como instrucciones de resolución y puede terminar en acciones no deseadas, desde filtraciones silenciosas en datos corporativos hasta ejecución de código si el flujo de herramientas lo permite.
Las mitigaciones pasan por decisiones de ingeniería, no por confiar en que el modelo ‘se portará bien’. Lo primero es inventariar y restringir los servidores MCP permitidos, desactivar integraciones de terceros por defecto y aplicar el principio de mínimo privilegio en el número de herramientas habilitadas. También conviene tratar las descripciones de herramientas y cualquier cambio como material de alto riesgo, con control de versiones, revisión y alertas ante modificaciones inesperadas.
A partir de ahí, la clave está en separar datos e instrucciones. Si la salida de una herramienta alimenta sin validación los argumentos de otra, el atacante gana un carril perfecto para recomponer órdenes en varias etapas. En operaciones con capacidad de exfiltración, como lecturas masivas, acceso a rutas sensibles, exportaciones o envíos a endpoints externos, la aprobación humana sigue siendo un freno eficaz.
El puesto de desarrollo necesita contención real. Limitar el acceso del agente a directorios como .ssh, credenciales y ficheros .env reduce el daño potencial. Y el control del tráfico saliente, con destinos permitidos y vigilancia de volúmenes anómalos, ayuda a detectar subidas de datos impropias. Para cerrar el círculo, el registro detallado de llamadas a herramientas, argumentos, recursos leídos y destinos de red permite correlacionar cadenas de acciones y cazar recombinaciones de instrucciones. Incluso se recomienda introducir canarios y señuelos para disparar alertas automáticas cuando esos valores aparezcan en solicitudes salientes.
En paralelo, la formación del equipo importa. Conectar un servidor MCP ‘porque funciona’ ya no es un gesto inocente. Los ejercicios controlados de inyección y las pruebas de resiliencia del cliente, con políticas que impidan lecturas de secretos y envíos no autorizados, marcan la diferencia entre un asistente útil y una vía de fuga con aspecto de herramienta.
Más información
- The Hacker News – Malicious MCP Servers Can Split Instructions to Make AI Coding Agents Exfiltrate Secrets : https://thehackernews.com/2026/08/malicious-mcp-servers-can-split.html
- The Hacker News – Microsoft Warns Poisoned MCP Tool Descriptions Can Make AI Agents Leak Data : https://thehackernews.com/2026/06/microsoft-warns-poisoned-mcp-tool.html
- The Hacker News – Agentjacking Attack Tricks AI Coding Agents Into Running Malicious Code : https://thehackernews.com/2026/06/agentjacking-attack-tricks-ai-coding.html
Deja una respuesta