Falha no OpenCode permite que servidores MCP maliciosos executem código durante o login no Windows e WSL
Uma vulnerabilidade no agente de codificação OpenCode permitia que um servidor MCP malicioso ou comprometido executasse código arbitrário na máquina do desenvolvedor no momento do sign-in, herdando as mesmas permissões do usuário. A falha foi corrigida pela Anomaly na versão 1.18.33.
O Model Context Protocol (MCP) é o mecanismo pelo qual agentes de codificação como o OpenCode se conectam a ferramentas externas — bancos de dados, APIs, sistemas de arquivos — estendendo as capacidades do agente além do modelo de linguagem em si. Isso cria uma relação de confiança implícita: o cliente MCP (o agente) assume que o servidor MCP ao qual se conecta é benigno, mesmo quando esse servidor é fornecido por um terceiro ou vem de um repositório de plugins da comunidade.
A falha explorava justamente esse ponto de confiança durante o fluxo de autenticação (sign-in) no Windows e no WSL: ao se conectar a um servidor MCP malicioso, o OpenCode permitia que esse servidor acionasse execução de código no ambiente do desenvolvedor, com os mesmos privilégios da conta do usuário logado. Isso significa que não era necessário phishing nem engenharia social elaborada — bastava o desenvolvedor configurar, ou ser induzido a configurar, uma conexão com um servidor MCP controlado pelo atacante para que o comprometimento ocorresse de forma silenciosa durante uma operação rotineira de login.
Essa classe de falha é particularmente relevante porque o ecossistema de agentes de IA para desenvolvimento está crescendo rápido e incentivando a conexão com múltiplos servidores MCP de terceiros, muitas vezes sem o mesmo nível de escrutínio de segurança aplicado a dependências de software tradicionais. Um servidor MCP comprometido ou publicado com intenção maliciosa se torna, efetivamente, um vetor de execução remota de código na máquina de qualquer desenvolvedor que confie nele — um padrão de ataque de cadeia de suprimentos adaptado ao contexto de agentes de IA.
A correção na versão 1.18.33 presumivelmente reforça a validação ou isola a execução disparada por servidores MCP durante a etapa de autenticação, mas o incidente reforça uma lição mais ampla: ferramentas de IA que atuam como clientes de protocolos extensíveis (MCP, plugins, extensões) precisam tratar todo provedor externo como não confiável por padrão, sobretudo em etapas sensíveis como login, onde o usuário tem menos atenção a comportamentos anômalos.