Seguridad · Impacto altoFan score 69 · Nivel A
Paquetes maliciosos MCP en npm y PyPI: siete en 4 días
DEV · Por Henry Ramirez ·
Lo esencial
- Se han publicado siete avisos sobre paquetes maliciosos MCP en npm y PyPI en cuatro días.
- GitHub indica que, en tres de ellos (entre otros, depfix-ai y agent-trace-kit), cualquier equipo que los instaló debe tratarse como comprometido por completo.
- No existe una versión segura a la que volver.
Por qué importa
Si un desarrollador instaló alguno de estos paquetes MCP, su equipo podría estar totalmente comprometido, y revertir a una versión anterior no basta para resolverlo.
A quién afecta
- Desarrolladores que instalaron paquetes MCP desde npm o PyPI
Qué hacer
- Revisar si se instaló alguno de los paquetes señalados y, si es así, tratar el equipo como comprometido según la orden de GitHub para tres de ellos.
- #seguridad
- #npm
- #pypi
- #mcp
- #supply-chain
- #malware
Paquetes maliciosos MCP en npm y PyPI suman siete avisos en cuatro días, y la orden de GitHub para tres de ellos es tajante: cualquier equipo que los instaló se trata como comprometido por completo. No hay versión buena a la que volver. depfix-ai, agent-trace-kit y…