Escaneos MCP limpios, servidores maliciosos: lo que los escáneres no ven

What is this?

El 15 de septiembre de 2026, Yotam Perkal y Eitan Chassid, de Pluto Security, publicaron “Malicious Servers, Clean Scans”. Construyeron dos servidores Model Context Protocol (MCP) deliberadamente dañinos y los pasaron por cinco escáneres de MCP y de skills: Cisco mcp-scanner, Snyk agent-scan, Ventrova sentinel-scan-cli, mcp-shield y NVIDIA SkillSpector. Cada escáner devolvió un resultado limpio o sin hallazgos en al menos una configuración probada.

Ambos servidores se hacían pasar por una simple herramienta del tiempo, y el usuario seguía recibiendo una respuesta meteorológica normal. Uno leía archivos de credenciales locales y los enviaba a un recolector. El otro obtenía un comando de un segundo servidor, lo ejecutaba y devolvía la salida. Las pruebas se realizaron en un entorno aislado con credenciales falsas. Una salvedad: Pluto vende productos de seguridad MCP, algo que el artículo menciona solo brevemente al final.

Una segunda fuente apunta en la misma dirección. Un artículo de arXiv del 16 de septiembre de 2026, de Murali Ediga y Sudipta Chattopadhyay, indica que siete herramientas de seguridad MCP de terceros no detectaron cargas de inyección repartidas entre varios canales.

How it works

Los servidores no ocultaban nada ingenioso en sus metadatos. Los nombres, descripciones y esquemas de las herramientas parecían inocuos. La lógica dañina estaba en el código de los manejadores, que muchos escáneres nunca inspeccionan. Pluto atribuye los fallos a varias carencias recurrentes:

• Controles solo de metadatos. Algunos controles examinan únicamente nombres, descripciones, esquemas o manifiestos, que no contenían nada sospechoso.
• Análisis incompleto. El presupuesto de prompt de un analizador de Cisco dejaba muy poco espacio para la evidencia del servidor. La revisión con LLM de SkillSpector omitió un archivo demasiado grande: el mismo código tras un gran bloque de texto inofensivo devolvía “CAUTION / 0” con cobertura parcial.
• Reglas estáticas frágiles. Las reglas basadas en palabras clave o sintaxis se eluden con variantes equivalentes.
• Indicios dispersos. Señales relacionadas se analizaban en campos separados, sin una regla que las uniera.
• Comportamiento suministrado en ejecución. El comando llegaba después del escaneo, por lo que ningún escaneo podía verlo.
• Contenido fuera de alcance. El texto devuelto por las llamadas a herramientas queda fuera de los escaneos de la lista de herramientas.

La revisión LLM por defecto de SkillSpector fue la única que detectó ambos servidores con un tamaño de archivo normal. El analizador de comportamiento de Cisco devolvió resultados limpios incluso para un servidor de control que describía abiertamente su robo de credenciales en la descripción de su herramienta.

Why it matters

Los equipos tratan cada vez más el veredicto de un escáner como una puerta de instalación. Esta investigación muestra que una puerta que se degrada en silencio (archivos omitidos, contexto truncado, tiempos de espera) sigue informando de éxito. También encaja con el hallazgo previo de Trail of Bits sobre los escáneres de skills: un escáner es un objetivo fijo y el atacante mueve en segundo lugar. El riesgo es mayor cuando un servidor MCP se ejecuta con acceso a claves SSH, credenciales cloud o configuración de Kubernetes en el equipo de un desarrollador.

Defenses

• Compruebe qué cubrió cada escaneo. Trate los archivos omitidos, los tiempos de espera o el análisis degradado como una puerta fallida, no como un aprobado.
• Seleccione y fije versiones. Use fuentes revisadas, fije versiones o hashes de commit y revise los cambios antes de actualizar.
• Revise todo el código ejecutable, incluido el que se carga en ejecución.
• Pruebe los servidores desconocidos en aislamiento con credenciales falsas, observando su actividad de archivos y de red.
• Aplique el mínimo privilegio a los archivos, credenciales y salida de red de cada servidor.
• Supervise tras la instalación los cambios en las definiciones de herramientas y el comportamiento de los procesos.
• Combine varios tipos de análisis y trate un escaneo como evidencia, nunca como una decisión de confianza.

Status

Elemento	Detalle
Investigación publicada	Pluto Security, 15 de septiembre de 2026; artículo de arXiv, 16 de septiembre de 2026
Escáneres probados	Cisco mcp-scanner, Snyk agent-scan, Ventrova sentinel-scan-cli, mcp-shield, NVIDIA SkillSpector
Correcciones upstream	Dos pull requests de SkillSpector aprobados con CI en verde; dos de Cisco abiertos. Ninguno fusionado ni publicado al redactar
Explotación en la práctica	No indicada