Des agents de codage pilotés par l’intelligence artificielle installent des serveurs MCP (Model Context Protocol) qui ne reçoivent plus de mises à jour de sécurité. Ce phénomène, que Glow Labs nomme MCPhantom, représente un risque significatif car ces composants critiques atterrissent directement sur les machines des développeurs sans avertissement clair.

L’analyse de transcriptions de sessions de codage réelles montre que dans 98 % des cas, l’agent sélectionne un serveur obsolète parce qu’il figure dans les données d’entraînement du modèle. Par exemple, si un développeur demande au système de connecter un service tel que GitHub, l’agent peut choisir un serveur Anthropic archivé, au lieu de la version officielle et sécurisée maintenue par GitHub.

Les chercheurs de Glow Labs ont constaté que ces serveurs locaux n’apparaissaient pas dans les inventaires classiques, car ils ne sont pas listés dans un fichier de dépendances formel. C’est au moment de l’installation, sur l’endpoint, que le danger se matérialise. L’agent génère ou fournit la commande, et le paquet est installé via npm, échappant ainsi aux mécanismes de contrôle habituels.

Les failles cachées dans les dépendances fantômes

L’impact de ces installations non voulues est sérieux. Les chercheurs ont identifié quatre failles de haute sévérité parmi les serveurs obsolètes testés. La plus dangereuse est une vulnérabilité d’exécution de code à distance (RCE) présente dans le serveur Puppeteer. Avec une injection de prompt, un attaquant pourrait forcer l’agent à exécuter n’importe quel processus sur la machine au lieu de simplement naviguer sur le web, car l’autorisation de navigation couvre alors toutes les commandes.

Ces dépendances fantômes échappent aux systèmes de sécurité classiques. Les outils de sécurité des dépendances (SCA) n’ont pas de manifeste à scanner, et les outils de gestion des endpoints ne les enregistrent pas. Nadav Claude Cohen, chercheur en vulnérabilités chez Glow, a souligné cette faille : « Une recherche avant l’installation ne suffit pas en soi. »

Le volume d’utilisation est également préoccupant. Les paquets obsolètes analysés ont été téléchargés plus de 17,3 millions de fois depuis juillet 2025 via npm, dont cinq figurent dans le top 100 des MCP de npm.

Comment sécuriser l’environnement face à l’oubli des mainteneurs

Les mainteneurs des paquets archivés ont confirmé ne plus offrir de correctifs. Face à cela, plusieurs pistes de solution émergent. Les créateurs d’agents pourraient refuser explicitement les serveurs obsolètes, mais cela dépendrait de l’adoption massive de cette pratique par tous les fournisseurs d’agents. De même, les fournisseurs de modèles devraient idéalement mettre à jour leur connaissance interne pour ne plus référencer ces paquets dépréciés, bien que cette mise à jour des poids des modèles soit coûteuse.

En attendant, les équipes de sécurité peuvent se concentrer sur l’identification des configurations MCP qui référencent ces serveurs et migrer vers les versions officielles fournies par les propriétaires des services. Ophir Arie, VP R&D chez Glow, estime que les équipes doivent traiter la décision de l’agent comme suspecte et appliquer des contrôles proactifs. Il faut surveiller si les fournisseurs d’agents intègrent des mécanismes de vérification de statut de dépréciation au moment de l’installation, car c’est là que se situe le point de rupture actuel.

Sources

• MCPhantom: AI Agents Installing Deprecated MCP Servers, glow.io
• AI coding agents are installing MCP servers that will never be patched, Help Net Security, 3 novembre 2026