Glow Security melaporkan bahwa agen pemrograman AI sering memasang server Model Context Protocol (MCP) yang sudah usang di mesin pengembang. Glow menamai pola ini MCPhantom, dan Help Net Security memuat laporannya pada 3 November 2026. Karena temuan ini bersumber dari satu riset milik Glow sendiri, angka di bawah belum dikonfirmasi pihak independen.
Agen memilih paket dari ingatan modelnya
Glow menelaah transkrip sesi pemrograman nyata. Ketika pengembang meminta agen menyiapkan server MCP, misalnya untuk GitHub, agen memilih sebuah paket. Pada 98 persen sesi yang diteliti, nama paket itu tampaknya diambil dari data pelatihan model. Pada 2 persen sisanya, pengguna sendiri menyebut paket lama. Penelitian hanya mencakup sesi yang memasang atau menyarankan server usang.
Pola ini muncul di Claude Code, Cursor, Codex CLI, Claude Cowork, dan Claude chat, dengan model dari Anthropic, OpenAI, dan xAI. Dalam contoh GitHub, agen melewati server MCP buatan GitHub sendiri dan memilih server rujukan lama milik Anthropic yang sudah diarsipkan. Repositori servers-archived milik proyek MCP memang berstatus arsip sejak 29 Mei 2025 dan memuat 14 server, termasuk GitHub dan Puppeteer. README-nya menyatakan tidak ada pembaruan keamanan atau perbaikan bug untuk server itu dan mengarahkan pengguna ke repositori servers yang masih aktif.
Angka unduhan dan celah yang tidak akan ditambal
Menurut Glow, paket usang itu diunduh dari npm lebih dari 17,3 juta kali sejak Juli 2025, dan lima di antaranya masuk 100 besar paket MCP di npm. Paket server-github saja tercatat 185.239 unduhan dalam sepekan terakhir dan dimiliki enam akun. Glow menemukan empat celah berkeparahan tinggi di server rujukan tersebut, tanpa tambalan. Yang paling serius adalah eksekusi kode jarak jauh di server Puppeteer: prompt injection bisa membuat agen menjalankan proses pilihan penyerang, bukan membuka peramban. Laporan tidak memuat nomor CVE dan tidak mencatat eksploitasi di dunia nyata.
Glow sudah mengirim laporannya ke pengelola, tetapi laporan itu ditutup sebagai di luar lingkup. Pengelola menjawab bahwa server tersebut diarsipkan pada Mei 2025 dan tidak dirawat, sehingga tidak ada perbaikan. Mereka hanya akan mempertimbangkan menandai paket npm sebagai deprecated. Menurut Glow, penandaan itu tidak menghalangi pemasangan lewat npx. npm juga hanya mengizinkan pemilik menghapus paket yang memiliki kurang dari 300 unduhan mingguan, satu pemilik, dan tanpa dependen publik. Syarat itu jauh dari terpenuhi oleh server-github. Risiko memercayai nama yang tampak resmi juga muncul di kampanye malware Yoba yang menyamar sebagai aplikasi ChatGPT dan Claude di GitHub.
Mengapa alat keamanan biasa tidak menangkapnya
Glow menjelaskan bahwa EDR hanya melihat proses Node tepercaya memasang paket publik, yang tampak rutin. Alat analisis komposisi perangkat lunak (SCA) tidak menemukan manifes, dan inventaris aset tidak mencatat aplikasinya. Wakil presiden R&D Glow, Ophir Arie, merangkum masalahnya: “The model’s memory is now a package manager with no deprecation feed.”
Untuk tim keamanan, Glow menyarankan beberapa langkah. Cari konfigurasi MCP yang merujuk server @modelcontextprotocol yang sudah usang, lalu ganti dengan server buatan pemilik layanan bila tersedia. Setujui satu server per layanan, dan jadikan status deprecated di npm sebagai kriteria persetujuan. Glow juga mendorong pembuat harness agen untuk menolak atau memperingatkan pemasangan server usang. Bagi pengembang yang memakai agen AI, langkah paling cepat adalah memeriksa file konfigurasi MCP di mesin masing-masing hari ini.
Sumber: Help Net Security dan repositori servers-archived proyek MCP. Gambar: Help Net Security