¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
Paquetes maliciosos MCP en npm y PyPI suman siete avisos en cuatro días, y la orden de GitHub para tres de ellos es tajante: cualquier equipo que los instaló se trata como comprometido por completo. No hay versión buena a la que volver. depfix-ai, agent-trace-kit y @go-gost/mcp-darwin-x64, todos en npm, cargan avisos de programas dañinos en la base de avisos de GitHub, con fecha del 10 y el 12 de noviembre, y ninguno trae versión corregida.
El cuarto nombre de la tanda llegó hoy, 13 de noviembre, desde PyPI y pega donde más duele: my-mcp-server-driving-license-ocr, en su versión 0.1.3, promete leer licencias de conducir con reconocimiento óptico de caracteres y manda las imágenes a una dirección IP fija, sin cifrado. Amazon Inspector destapó el comportamiento y el aviso quedó registrado como MAL-2026-19204 en la base de datos OSV, la referencia abierta de vulnerabilidades.
Siete nombres, dos registros y una misma trampa
MCP es la sigla de Model Context Protocol, el protocolo abierto que conecta asistentes de inteligencia artificial con herramientas y datos externos. Un servidor MCP corre en la máquina del usuario, con sus permisos, y lee archivos, claves y servicios que el cliente de IA tenga autorizados. Por eso un paquete falso con nombre de herramienta MCP no es un juguete roto: es una puerta abierta al equipo entero, con las credenciales de trabajo dentro.
GitHub lo escribió sin rodeos en el aviso GHSA-689j-99g2-vf2f, publicado el 12 de noviembre para depfix-ai: todas las versiones están afectadas, no existe versión parcheada y los secretos y claves guardados en ese equipo deben rotarse de inmediato desde otro equipo distinto. Retirar el paquete, aclara el aviso, puede no retirar todo el programa dañino que la instalación dejó detrás. agent-trace-kit recibió el mismo trato en el aviso GHSA-p844-4jjv-h39f del 10 de noviembre, y @go-gost/mcp-darwin-x64, un paquete para macOS que se presenta con nombre de herramienta conocida, en el GHSA-gfpg-48q7-c68h del 12 de noviembre.
El caso de PyPI es distinto y peor en un detalle concreto. La herramienta analyze_image de my-mcp-server-driving-license-ocr envía las imágenes que recibe —URL o bytes, da igual— a la dirección 42.193.222.35, puerto 8000, por HTTP simple. El código lee una variable de entorno llamada MY_API_URL y después la sobrescribe con esa IP escrita a mano: ni cambiando la configuración se mueve el destino. Quien mandó una licencia de conducir por esa vía debe dar el documento por expuesto, bloquear la IP y vigilar cualquier uso raro de su identidad.
La tanda venía cargada desde días antes. El 10 y el 12 de noviembre salieron otros tres avisos de npm: @lemili9804/mcp-weather-server, versiones 1.0.3 y 1.0.6, con el aviso GHSA-qwfq-cw9x-55×4; mcp-contract-tester, en todas sus versiones, con el GHSA-34p7-qcxm-gc39; y @rfewqa-fes/mnm-doc-mcp 1.0.0, registrado como MAL-2026-19148. En este último, Amazon Inspector encontró algo todavía más burdo: su única dependencia, node-health-utils, se descarga como un archivo comprimido desde la IP 121.199.24.94 por HTTP, sin versión fijada, sin huella de integridad y sin cifrado. npm instala lo que ese servidor entregue ese día, con los guiones de instalación incluidos.
El nombre bonito ya es parte del ataque
Nada en estos siete nombres suena a peligro. depfix-ai suena a utilidad que arregla dependencias con IA. agent-trace-kit suena a herramienta de registro para agentes. Un servidor del tiempo y un lector de licencias suenan a piezas chicas para conectar en el cliente MCP y seguir trabajando. El gancho es ese: programadores y equipos que montan agentes a toda prisa instalan servidores MCP desde tutoriales, listas copiadas y recomendaciones del propio asistiente, muchas veces con una orden de npx o uvx que descarga y ejecuta en el acto.
El patrón tampoco nace esta semana. A finales de octubre, un gusano de npm escondió carga en 42 repositorios de GitHub, y la base VibeVulns, que ordena los avisos de este ecosistema, ya junta 267 avisos ligados a 56 herramientas de IA, con 16 nuevos solo en esta semana. La cuenta crece porque el punto débil es cómodo: instalar es un comando, revisar el código de cada servidor MCP es tarea de horas, y casi nadie la hace.
La revisión práctica cabe en pocos minutos y vale para los siete nombres. Toca buscar depfix-ai, agent-trace-kit, mcp-darwin-x64, my-mcp-server-driving-license-ocr, mnm-doc-mcp, mcp-weather-server y mcp-contract-tester en los archivos de bloqueo de cada proyecto (package-lock.json, pnpm-lock.yaml, yarn.lock, uv.lock), en las instalaciones globales de npm y en los archivos de configuración de los clientes MCP que la máquina use, como Claude Desktop, Cursor y VS Code, con atención a las líneas que arrancan paquetes con npx o uvx. Si un nombre aparece, el paquete y su entrada de configuración se borran, y las claves que vivían en ese equipo —de modelos de IA, de GitHub, de la nube— se rotan desde otro equipo limpio, nunca desde el afectado.
Queda un dato frío para cerrar la semana: de los siete paquetes, cinco obligan a tratar el equipo como comprometido por completo y uno se llevaba fotos de licencias de conducir a una IP fija por una conexión sin cifrar. El aviso del lector de licencias salió hoy y su IP, 42.193.222.35, es bloqueable en cualquier cortafuegos en menos de un minuto.
Fuente: VibeVulns
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
