案例 anthropic-git-mcp-injection提示注入全球
Anthropic Git MCP服务器提示注入漏洞可致文件访问与代码执行
研究人员证明恶意仓库内容可引导使用Anthropic参考实现Git MCP服务器的代理读取或删除文件并执行代码；修复已发布。
中针对 AI 的攻击状态: 已修补已核实案例档案
- 报道日期
- 2026年1月20日
- 地点
- 全球
- 目标
- Anthropic mcp-server-git
- 严重程度
- 中
- 发起者
- Cyata安全研究人员（负责任披露）
- 行为者类型
- 安全研究人员
- 已报告损失
- 未报告
- CVE
- CVE-2025-68143, CVE-2025-68144, CVE-2025-68145
发生了什么
研究人员证明恶意仓库内容可引导使用Anthropic参考实现Git MCP服务器的代理读取或删除文件并执行代码；修复已发布。
影响: 概念验证可实现任意文件读取、文件删除，并在与文件系统MCP服务器串联后在代理主机上执行代码。未报告受害者。
谁发起了攻击
行为者: Cyata安全研究人员（负责任披露）
归因: 由Cyata自行披露；Anthropic确认并发布修复
动机: 安全研究；未报告在野利用
如何发生
攻击途径: 通过恶意README、issue文本或网页实施提示注入，引导代理调用git_init、带注入参数的git_diff或超出范围的仓库路径
根本原因: repo_path缺少路径验证、git_init不受限制，以及未净化的git_diff目标参数被直接传递给git命令行
时间线
- Cyata开始向Anthropic报告这些问题（6月至7月）
- Anthropic发布mcp-server-git 2025.12.18，修复全部三个漏洞
- Cyata和媒体公布细节
应对
Anthropic对仓库路径进行验证、移除git_init工具并修复参数注入；用户被要求升级至2025.12.18或更高版本。
当前状态: 已修补
来源（在新标签页打开）
- OECD AI Incidents Monitor oecd.ai
- The Register theregister.com
- SecurityWeek securityweek.com
- Infosecurity Magazine infosecurity-magazine.com
引用此案例
Anthropic Git MCP服务器提示注入漏洞可致文件访问与代码执行. AI Threat Watch, 案例 anthropic-git-mcp-injection, 2026年1月20日. https://aithreat.io/zh/cases/anthropic-git-mcp-injection/
永久链接: https://aithreat.io/zh/cases/anthropic-git-mcp-injection/