Amazon Q Developer 中的一个安全漏洞允许恶意仓库通过 MCP 配置执行代码。这使该工具的用户在集成未经验证的来源时面临潜在攻击。对公众而言，建议很明确：检查每个仓库的来源，并保持软件更新以降低风险。
AI 助手中 MCP 漏洞的技术细节 🔧
该漏洞存在于 Amazon Q Developer 对模型配置协议（MCP）的处理中。恶意仓库可以修改这些配置，在开发任务执行期间注入任意命令。这不需要系统的高权限，只需用户导入一个来源可疑的项目。攻击利用了工具对仓库配置文件的隐式信任，而没有充分验证其内容。
那个值得信赖的仓库，结果却是披着代码外衣的狼 🐺
结果发现，你用来更快编写代码的 AI 助手，可能会变成一个带着微笑递给你病毒的邮递员。这就像邀请一个陌生人共进晚餐，却发现他在你准备咖啡时洗劫了冰箱。现在，每个仓库都得像警匪片里的嫌疑人一样仔细检查。幸好我们总有时间阅读细则，对吧？