Una técnica denominada GhostSplice permite que un servidor MCP malicioso induzca a un agente de programación a extraer claves SSH, secretos de entorno y código fuente. El método consiste en fragmentar la instrucción de robo y distribuirla entre metadatos y respuestas de herramientas para que el agente la reconstruya sin detectar una orden claramente maliciosa.
La investigación sobre GhostSplice centra la atención en una pieza cada vez más común en los flujos de trabajo con asistentes de programación: los servidores de herramientas conectados mediante Model Context Protocol (MCP). El descubrimiento muestra un escenario problemático: basta con que un desarrollador conecte un servidor MCP no verificado para que ese servidor, si actúa maliciosamente, empuje al agente a filtrar información sensible que ya está disponible en el entorno de desarrollo.
La idea central es simple y efectiva. En lugar de insertar una orden directa como «envía las claves», el servidor distribuye la instrucción en fragmentos. Una parte aparece oculta en la descripción de una herramienta MCP, otra se cuela en el resultado de una interacción posterior. Cada pieza, aislada, parece un texto operativo o metadatos inofensivos. El problema surge cuando el agente, que generalmente trata esas descripciones y respuestas como contexto confiable, las recombina dentro de la misma conversación y acaba ejecutando el plan completo.
En pruebas controladas, el método elevó significativamente la tasa de cumplimiento del modelo. Dividir la instrucción en dos partes aumentó el promedio del 42% al 82% en once modelos evaluados. En algunos casos, sistemas que antes se negaban consistentemente pasaron a comportarse de forma opuesta, del 0% al 100%. Este detalle subraya un aspecto clave: el riesgo no depende solo del modelo. Depende del cliente, de cómo integra herramientas, de las barreras alrededor del agente y de si ese entorno permite que el texto devuelto por una herramienta se convierta en guía de acción.
La demostración incluye filtraciones de claves SSH, archivos .env, código propietario y documentos con datos sensibles. La técnica usa plantillas y campos aparentemente neutros que terminan resolviendo rutas concretas del sistema, lo suficientemente cercanas a la operativa diaria como para que el agente no levante sospechas. Sin embargo, es importante acotar el alcance: GhostSplice no compromete agentes a distancia por sí solo. Requiere dos condiciones previas: que el desarrollador conecte el servidor MCP del atacante y que el agente ya tenga permisos para leer los archivos que se pretende sustraer.
La ausencia de CVE en esta divulgación y el carácter defensivo del trabajo no reducen la urgencia práctica, ya que se alinea con avisos recientes sobre envenenamiento de herramientas MCP y ataques de agentjacking. El patrón se repite: contenido que llega desde servicios externos, vía MCP, se interpreta como instrucciones de resolución y puede terminar en acciones no deseadas, desde filtraciones silenciosas de datos corporativos hasta ejecución de código si el flujo de herramientas lo permite.
Las mitigaciones pasan por decisiones de ingeniería, no por confiar en que el modelo se comportará adecuadamente. Lo primero es inventariar y restringir los servidores MCP permitidos, desactivar integraciones de terceros por defecto y aplicar el principio de mínimo privilegio en el número de herramientas habilitadas. También conviene tratar las descripciones de herramientas y cualquier cambio como material de alto riesgo, con control de versiones, revisión y alertas ante modificaciones inesperadas.
A partir de ahí, la clave está en separar datos e instrucciones. Si la salida de una herramienta alimenta sin validación los argumentos de otra, el atacante gana un carril perfecto para recomponer órdenes en varias etapas. En operaciones con capacidad de exfiltración, como lecturas masivas, acceso a rutas sensibles, exportaciones o envíos a endpoints externos, la aprobación humana sigue siendo un freno eficaz.
El puesto de desarrollo necesita contención real. Limitar el acceso del agente a directorios como .ssh, credenciales y archivos .env reduce el daño potencial. El control del tráfico saliente, con destinos permitidos y vigilancia de volúmenes anómalos, ayuda a detectar subidas de datos impropias. Para completar el círculo, el registro detallado de llamadas a herramientas, argumentos, recursos leídos y destinos de red permite correlacionar cadenas de acciones y detectar recombinaciones de instrucciones. Incluso se recomienda introducir canarios y señuelos para disparar alertas automáticas cuando esos valores aparezcan en solicitudes salientes.
En paralelo, la formación del equipo es importante. Conectar un servidor MCP porque funciona ya no es un gesto inocente. Los ejercicios controlados de inyección y las pruebas de resiliencia del cliente, con políticas que impidan lecturas de secretos y envíos no autorizados, marcan la diferencia entre un asistente útil y una vía de fuga con aspecto de herramienta.
Con Información de unaaldia.hispasec.com
