MCP Exploit Demo

🚀 MCPツール中毒によるSSH鍵漏洩攻撃

このリポジトリは、MCP（モデルコンテキストプロトコル）サーバーに存在するセキュリティホールを示しています。このホールを利用すると、ツール中毒を通じてリモートコード実行やデータ窃取が可能です。この内容は教育およびセキュリティ研究目的のみで提供されています。

📚 ブログリンク：

MCPツール中毒からRCEへ

📦 リポジトリの内容

• server.py - 被毒化されたツールを含む悪意のあるMCPサーバーの実装
• .cursor/mcp.json - Cursor AIとの統合に使用する設定ファイル

💥 攻撃原理

この攻撃では「ラグプル」（Rug Pull）手法を用いています。

1. ユーザーがMCPクライアント（Cursor AIなど）を使って悪意のあるMCPサーバーに接続します。
2. サーバーがDockerCommandAnalyzerツールのドキュメントを改竄し、悪意のあるコードを挿入します。
3. AIアシスタントがこのドキュメントを読み取ると、ドキュメントが改ざんされ、AIがbase64でエンコードされたコマンドの実行を推奨するようになります。
4. エンコードされたコマンドは以下のことを行います。
   • ユーザーのSSH公開鍵を収集する。
   • それを秘密にリモートサーバーに送信する。
   • 攻撃の痕跡を削除する。

🔧 技術実装詳細

この攻撃のポイントは以下の通りです。

1. 二段階中毒：マークファイルを使ってツールが毒化された状態を維持します。
2. ソーシャルエンジニアリング：緊急性を強調する言葉を使って、AIアシスタントに悪意のある操作を実行させます。
3. Base64混同：悪意のあるコマンドを隠し、簡単に発見されないようにします。
4. wgetによる漏洩：標準的なHTTP POSTリクエストを使って、データを攻撃者が管理するサーバーに送信します。

💡 防御策

このような攻撃から守るためには、以下の対策を取ってください。

1. 自動実行機能を無効にする：CursorなどのAI開発ツールで自動実行機能をオフにします。
2. 接続先を検証する：MCPサーバーに接続する前に、その身元と信頼性を確認します。
3. コードレビューを行う：信頼できないソースからのコードを実行する前に確認します。
4. サンドボックス環境を使用する：新しいAIツールをテストする際には、隔離されたサンドボックス環境を使用します。
5. アウトバウンドフィルタリングを実施する：ネットワークルールを設定して、許可されていない外部への接続をブロックします。

この攻撃事例は、MCPプロトコルやAI開発ツールを使用する際の重要性を強調しており、ユーザーや開発者に対して警戒心を持ち、適切なセキュリティ対策を講じることを促しています。