На npm засветился первый известный пример вредоносного MCP-сервера. Разраб пакета postmark-mcp добавил в свежую версию код для пересылки ему почты юзеров.

FSCP

На npm засветился первый известный пример вредоносного MCP-сервера. Разраб пакета postmark-mcp добавил в свежую версию код для пересылки ему почты юзеров.

Postmark — почтовый сервер, MCP — фреймворк для его интеграции с ИИ-ассистентами. И с разрешениями, которые выдают дружелюбным кремниевым помощникам, одной строчки кода было достаточно для форварда писем юзеров злоумышленнику. Postmark-mcp на npm выглядел как порт официального с GitHub на протяжение 15 версий. А в 16-й обзавёлся вредоносным кодом. Пакет провисел неделю, его скачали ~1500 раз, после стука в личку от журналистов разраб его удалил. Предложи человеку сунуть в прод подобранную на улице флешку, и он только посмеётся. Предложи ему ИИ-ассистента с доступом ко всему и вся by design, и он накатит его быстрее, чем ты выговоришь “большая языковая модель”. Мы живём в обществе.

_______
Источник | #tomhunter
#хроникицифровизации
@F_S_C_P

▪️Генерируй картинки и видео в Mini App:
Flux + Veo 3 + Wan 2.2 + MidJourney v7 + другие

BleepingComputer

Unofficial Postmark MCP npm silently stole users' emails

A npm package copying the official 'postmark-mcp' project on GitHub turned bad with the latest update that added a single line of code to exfiltrate all its users' email communication.

❤2💯2

www.group-telegram.com/us/F_S_C_P.com/116036

892 viewsedited Sep 26 at 17:25