Gate News 訊息，4 月 21 日 — 安全公司 OX Security 已披露 MCP (Model Context Protocol) 中一項設計層級的遠端程式碼執行 (RCE) 漏洞。MCP 是供 AI 代理呼叫外部工具的開放標準，由 Anthropic 領導。攻擊者可在任何執行易受攻擊的 MCP 實作的系統上執行任意命令，取得使用者資料、內部資料庫、API 金鑰以及聊天歷史。
該缺陷並非源於實作錯誤，而是源自 Anthropic 官方 SDK 在處理 STDIO 傳輸時的預設行為——影響 Python、TypeScript、Java 與 Rust 版本。官方 SDK 中的 StdioServerParameters 會根據設定的命令參數直接啟動子進程；若開發者未進行額外的輸入清理（sanitization），任何在此階段到達的使用者輸入都會成為系統命令。OX Security 識別出四種攻擊途徑：透過設定介面進行直接命令注入、利用白名單命令旗標 (e.g., npx -c \u003ccommand\u003e) 來繞過清理機制、在 IDE 中進行提示注入以重寫 MCP 設定檔，讓像 Windsurf 這類工具在不需使用者互動的情況下執行惡意 STDIO 服務，以及透過 MCP 市集中的 HTTP 請求注入 STDIO 設定。
根據 OX Security 的說法，受影響套件已被下載超過 1.5 億次，並且有 7,000+ 個公開可存取的 MCP 伺服器在 200+ 個開源專案中暴露出多達 200,000 個實例。該團隊提交了 30+ 次負責任的通報，導致涵蓋 AI 框架與 IDE（包括 LiteLLM、LangFlow、Flowise、Windsurf、GPT Researcher、Agent Zero 與 DocsGPT）的 10+ 個高嚴重度或關鍵程度 CVE；在 11 個受測的 MCP 套件儲存庫中，有 9 個可能會透過此技術遭到攻陷。
Anthropic 回應稱這是「按設計如此（by design）」；並稱 STDIO 的執行模型是「安全的預設設計（secure default design）」，將輸入清理的責任轉移給開發者，並拒絕修改協議或官方 SDK。雖然 DocsGPT 與 LettaAI 已釋出修補程式，但 Anthropic 的參考實作保持不變。隨著 MCP 成為用於存取外部工具的 AI 代理事實標準（並已被 OpenAI、Google 與 Microsoft 所採用），任何使用官方 SDK 預設 STDIO 作法的 MCP 服務都可能成為攻擊途徑——即使開發者編寫的是沒有錯誤的程式碼。\u003c/command\u003e
免責聲明：本頁面資訊可能來自第三方，不代表 Gate 的觀點或意見。頁面顯示的內容僅供參考，不構成任何財務、投資或法律建議。Gate 對資訊的準確性、完整性不作保證，對因使用本資訊而產生的任何損失不承擔責任。虛擬資產投資屬高風險行為，價格波動劇烈，您可能損失全部投資本金。請充分了解相關風險，並根據自身財務狀況和風險承受能力謹慎決策。具體內容詳見
聲明。
相關文章
OpenClaw v2026.4.23 新增 gpt-image-2 直接 OAuth 支援，並為子代理引入分叉式上下文模式
Gate 新聞訊息，4 月 25 日 — OpenClaw，一個開源 AI 代理框架，在 4 月 23 日發布了 v2026.4.23，涵蓋影像生成、子代理機制以及安全加固等多項更新。
影像生成增強使得 gpt-image-2 可直接透過 Codex OAuth 呼叫，且不必
GateNews2分鐘前
Fere AI 完成由 Ethereal Ventures 領投的 130 萬美元融資
Gate News 訊息，4月24日——Fere AI，一個由人工智慧驅動的數位資產交易代理平台，宣布完成一輪由 Ethereal Ventures 領投的 130 萬美元融資，並有 Galaxy Vision Hill 與 Kosmos Ventures 參與。
該平台支援跨鏈網路，包括 Ethereum，
GateNews11小時前
大型 CEX 錢包在促銷期間推出零費用的 Agentic Wallet，供 AI 代理使用
Gate 新聞消息，4 月 24 日 — 一家主要加密貨幣交易所錢包已推出 AgenticWallet，一款專為 AI 代理設計的無密鑰專用錢包。該平台使用戶能夠授權 AI 代理在已設定的條件下，安全地執行交易、轉帳和資產管理操作
GateNews12小時前
Web3 AI 基礎設施 AIW3 完成由 Buffalo Capital 領投的 $2M 種子輪融資
Gate 新聞訊息，4 月 24 日——Web3 AI 基礎設施平台 AIW3 宣布完成一筆 $2 百萬種子輪融資。該輪由 Buffalo Capital 領投，並由 GalaXin Capital 與 Three-stones Ventures 作為共同投資方參與。
AIW3 正在轉向「代理即服務」（Agent-as-a-Service）
GateNews15小時前
阿聯酋政府宣布導入 AI 代理， 最快 2028 完成半數業務自動化運作
阿聯酋宣布在兩年內，讓聯邦政府50%部門、服務與運作由自主 AI 代理運作，成為全球首例。AI 將成政府執行夥伴，協助決策、提升服務並自我優化。全體公務員強制受訓，部長績效與 AI 導入成效掛鉤，由總統監督推動專責小組。此舉源自十多年政策累積與 AI 戰略，核心以人為本。
鏈新聞abmedia16小時前
