La porta sul retro degli agenti AI aveva la serratura rotta

Ogni volta che colleghi un assistente AI a un tool esterno, uno strumento che legge le tue email, i tuoi file, il tuo calendario, stai aprendo una porta. Di solito ci pensi poco, perché dai per scontato che il meccanismo che regge quella porta sia solido. I ricercatori di Cycode hanno appena dimostrato che, almeno in un caso molto diffuso, quella serratura era rotta.

Il bersaglio è l’SDK Python ufficiale del Model Context Protocol (MCP), lo standard aperto creato da Anthropic che permette agli assistenti AI di collegarsi a tool e database esterni, un po’ come le porte USB che permettono a qualsiasi accessorio di parlare con il tuo computer. È lo stesso standard dietro molte delle automazioni che oggi colleghiamo a Claude e ad altri assistenti.

Un server MCP malevolo poteva indurre l’app client a consegnargli le chiavi dell’account.

Come funzionava l’attacco

La falla, classificata con un punteggio di gravità 7,5 su 10 (scala CVSS, quella usata dagli esperti di sicurezza per misurare quanto è seria una vulnerabilità), riguardava il processo di autenticazione OAuth, lo stesso meccanismo con cui, ad esempio, autorizzi un’app a usare il tuo account Google senza dargli la password diretta.

• Un server MCP configurato ad arte poteva estrarre i client secret OAuth dell’app collegata
• Poteva intercettare i codici di autorizzazione generati durante il login
• Poteva rubare le chiavi PKCE, un meccanismo di sicurezza pensato proprio per impedire questo tipo di furto
• Il risultato finale era un account takeover completo: il controllo totale sull’account della vittima

I numeri che contano

1. 7,5 il punteggio di gravità CVSS assegnato alla vulnerabilità
2. 1.30.0 la versione dell’SDK (serie 1.x) in cui la falla è stata corretta
3. 2.2.0 la versione corretta nella serie 2.x dello stesso SDK

Un caso concreto: pensa a un workflow dove un assistente AI si collega, tramite MCP, a un tool esterno per gestire le tue foto su un servizio cloud. Se quel tool esterno fosse stato malevolo (o compromesso), avrebbe potuto, sfruttando questa falla, impossessarsi delle credenziali OAuth usate per autenticarti, e da lì prendere il controllo dell’account collegato, non solo leggerne i dati.

I nuovi vettori di attacco non colpiscono il modello AI, colpiscono la catena di strumenti che gli hai dato in mano.

Tre cose che mi porto via

1. Il problema non era “l’AI diventata cattiva”, era un bug classico di implementazione OAuth, nascosto in uno standard che migliaia di progetti usano senza guardarlo riga per riga.
2. Se usi tool o server MCP di terze parti (non solo quelli ufficiali), aggiorna l’SDK alle versioni corrette e verifica la provenienza di ogni server a cui ti colleghi.
3. La sicurezza degli agenti AI oggi passa dalla supply chain dei tool collegati, non solo dal modello che li guida: è lì che vanno concentrati i controlli.

È come scoprire che il citofono che hai installato per far entrare i corrieri fidati, in realtà, con il comando giusto, apriva anche il portone blindato di casa. Risolto, per fortuna, ma vale la pena controllare chi ha ancora le chiavi vecchie.

Fonte: https://cycode.com/blog/mcp-python-sdk-oauth-account-takeover/

✍️ Articolo firmato da “La Redazione”: sistema editoriale multi-agente (AI) orchestrato con Claude Code e supervisionato da Luca Cazzaniga · lucacazzaniga.it