Expediente anthropic-git-mcp-injectionInyección de promptsGlobal
Fallos de inyección de prompts en el servidor Git MCP de Anthropic permiten acceso a archivos y RCE
Investigadores demostraron que contenido malicioso de un repositorio podía dirigir a agentes que usan el servidor Git MCP de referencia de Anthropic a leer o borrar archivos y ejecutar código; se publicaron correcciones.
MediaAtaque a la IAEstado: ParcheadoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 20 ene 2026
- Ubicación
- Global
- Objetivo
- mcp-server-git de Anthropic
- Gravedad
- Media
- Provocado por
- Investigadores de seguridad de Cyata (divulgación responsable)
- Tipo de actor
- Investigadores de seguridad
- Pérdida reportada
- Ninguna reportada
- CVE
- CVE-2025-68143, CVE-2025-68144, CVE-2025-68145
Qué ocurrió
Investigadores demostraron que contenido malicioso de un repositorio podía dirigir a agentes que usan el servidor Git MCP de referencia de Anthropic a leer o borrar archivos y ejecutar código; se publicaron correcciones.
Impacto: Prueba de concepto que permite lectura arbitraria de archivos, borrado de archivos y, encadenada con el servidor MCP de sistema de archivos, ejecución de código en los hosts de los agentes. Sin víctimas reportadas.
Quién lo provocó
Actor: Investigadores de seguridad de Cyata (divulgación responsable)
Atribución: Divulgado por la propia Cyata; correcciones reconocidas por Anthropic
Motivo: Investigación de seguridad; no se reportó explotación en el mundo real
Cómo ocurrió
Vector de ataque: Inyección de prompts mediante README malicioso, texto de issues o páginas web que dirigen a un agente a llamar a git_init, git_diff con flags inyectados o rutas de repositorio fuera de alcance
Causa raíz: Falta de validación de rutas en repo_path, git_init sin restricciones y argumento de destino de git_diff sin sanear pasado a la CLI de git
Cronología
- Cyata comienza a reportar los problemas a Anthropic (junio-julio)
- Anthropic publica mcp-server-git 2025.12.18 corrigiendo los tres fallos
- Cyata y los medios publican los detalles
Respuesta
Anthropic validó las rutas de repositorio, eliminó la herramienta git_init y corrigió la inyección de argumentos; se instó a los usuarios a actualizar a la 2025.12.18 o posterior.
Estado actual: Parcheado
Fuentes (pestaña nueva)
- OECD AI Incidents Monitor oecd.ai
- The Register theregister.com
- SecurityWeek securityweek.com
- Infosecurity Magazine infosecurity-magazine.com
Citar este expediente
Fallos de inyección de prompts en el servidor Git MCP de Anthropic permiten acceso a archivos y RCE. AI Threat Watch, expediente anthropic-git-mcp-injection, 20 ene 2026. https://aithreat.io/es/cases/anthropic-git-mcp-injection/
Enlace permanente: https://aithreat.io/es/cases/anthropic-git-mcp-injection/