原始來源Xygeni
摘要
安全研究發現 MCP 技能套件 local-browser-test 可解密 Chrome/Edge 瀏覽器儲存的憑證（利用 DPAPI 與 AES-256-GCM），並將解密後的憑證傳送至遠端伺服器。該風險需開發者主動執行該技能才會觸發，但凸顯 MCP 技… MCP 技能日益普及，此漏洞凸顯第三方技能的安全審查需求。 MCP 技能可能成為憑證竊取的新管道，開發者需審核技能來源與行為。 開發者應避免執行來路不明的 MCP 技能，並對技能進行程式碼掃描，檢查是否有存取本地憑證儲存區的行為。
重點整理
- 類似 npm 套件供應鏈攻擊，但攻擊面擴及 AI 代理技能層。
編輯說明
本頁是 Code & Chain 對公開來源的編輯摘要，可能使用 AI 輔助整理並經自動化流程發布。請以原始來源為準；內容不構成投資、法律或稅務建議。