)
Última actualización: 28 de octubre, 2026
¿Qué es el OWASP MCP Top 10? Es la primera lista de OWASP dedicada a los diez riesgos de seguridad más críticos del Model Context Protocol (MCP), el estándar que usan los agentes de IA para conectarse a herramientas y datos. Sigue siendo una versión beta de 2025, así que úsala como checklist de trabajo para tus revisiones de seguridad de MCP, no como un estándar cerrado.
TL;DR: Puntos clave
- La lista tiene diez riesgos y está en beta. El proyecto OWASP MCP Top 10 etiqueta sus riesgos como 2025 y se sitúa en la fase 3 de 5, "Beta Release and Pilot Testing", y su repositorio de GitHub marca el documento como v0.1.
- La autorización en MCP es opcional. La especificación de MCP (revisión 2026-07-28) indica que la autorización es OPTIONAL, así que un servidor MCP puede estar accesible sin ninguna autenticación.
- La superficie de ataque es enorme. La Cloud Security Alliance (4 de mayo de 2026) cita más de 150 millones de descargas y unas 200.000 instancias en la cadena de suministro afectada por el fallo de ejecución de comandos STDIO que OX Security divulgó en abril de 2026.
- La gravedad es alta. CVE-2026-0755 en gemini-mcp-tool puntúa 9,8 (23 de enero de 2026), y un fallo de autenticación ausente en el endpoint MCP de nginx-ui (CVE-2026-33032) también puntúa 9,8, con unas 2.600 instancias públicas.
- Los ataques a la cadena de suministro son reales. La versión 1.0.16 del paquete postmark-mcp copiaba cada correo a la dirección de un atacante y tenía 1.643 descargas cuando se informó, el 29 de septiembre de 2025.
- Una gateway cubre parte de la lista. En la evaluación propia de NeuralTrust, 6 de los 10 riesgos quedan cubiertos en la capa de gateway y runtime y 4 se comparten con el cliente.
Los diez riesgos de un vistazo
| ID | Riesgo | Qué falla | Ejemplo real |
|---|---|---|---|
| MCP01 | Token Mismanagement and Secret Exposure | Claves y tokens se filtran por el contexto, los logs o las trazas de depuración | Tokens filtrados tras un ticket de soporte envenenado (Supabase y Cursor, julio de 2025) |
| MCP02 | Privilege Escalation via Scope Creep | Los permisos crecen más allá de lo que el agente necesita | El GitHub MCP expuso repositorios privados (mayo de 2025) |
| MCP03 | Tool Poisoning | Instrucciones ocultas en descripciones o resultados de herramientas | "MCPoison" de Cursor, CVE-2025-54136 |
| MCP04 | Software Supply Chain Attacks and Dependency Tampering | Un servidor o una dependencia queda comprometido | postmark-mcp 1.0.16 (septiembre de 2025) |
| MCP05 | Command Injection and Execution | Entrada no confiable llega a una shell o a un ejecutor de código | CVE-2026-0755, CVSS 9,8 |
| MCP06 | Prompt Injection via Contextual Payloads (también Intent Flow Subversion) | Instrucciones ocultas en el contenido que lee el agente | Issue malicioso en GitHub (mayo de 2025) |
| MCP07 | Insufficient Authentication and Authorization | Quien llama accede a herramientas sin identidad verificada | nginx-ui CVE-2026-33032, CVSS 9,8 |
| MCP08 | Lack of Audit and Telemetry | Nadie puede reconstruir qué hizo un agente | Sin incidente único; amplifica a los demás |
| MCP09 | Shadow MCP Servers | Servidores no aprobados funcionan fuera del gobierno de seguridad | Servidores añadidos desde herramientas de desarrollo |
| MCP10 | Context Injection and Over-Sharing | El contexto se filtra entre usuarios, tareas o tenants | Exposición entre organizaciones en el MCP de Asana (2025) |
Qué es el OWASP MCP Top 10
El OWASP MCP Top 10 es un ranking mantenido por la comunidad con los diez riesgos más críticos de los sistemas construidos sobre el Model Context Protocol. Se sitúa junto al OWASP Top 10 for LLM Applications y al OWASP Top 10 for Agentic Applications, y se centra en la capa de herramientas.
La página del proyecto sitúa la lista en "Beta Release and Pilot Testing", la tercera de cinco fases (borrador, revisión de la comunidad, beta, versión final y mejora continua). La responsable del proyecto es Vandana Verma Sehgal, y los identificadores de riesgo llevan el sufijo 2025, como MCP01:2025.
Cómo hemos elaborado esta guía
Hemos tomado los diez riesgos de la página del proyecto OWASP y de su repositorio de GitHub, hemos leído la ficha de cada riesgo y la hemos cruzado con incidentes y CVE públicos con fechas y enlaces. Hemos descartado toda cifra que no pudimos comprobar.
Por qué MCP necesita su propia lista de riesgos
MCP necesita su propia lista porque traslada la decisión sobre lo que puede hacer un agente desde el código de la aplicación a las descripciones de herramientas, la configuración del servidor y el contexto en ejecución. Esas piezas las escriben terceros, cambian sin una nueva versión y las lee un modelo que obedece instrucciones en texto plano.
Dos hechos explican la urgencia. La especificación hace opcional la autorización, y el transporte STDIO puede ejecutar comandos locales por diseño. La Cloud Security Alliance informa de que la divulgación de OX Security de abril de 2026 encontró SDK oficiales que pasan la configuración STDIO a la shell del host sin validarla, y de que Anthropic, según los informes, considera este comportamiento intencionado.
Los riesgos del OWASP MCP Top 10 explicados
Cada riesgo sigue el mismo patrón: qué es, un ejemplo documentado y la mitigación que lo cierra. Las descripciones de OWASP son breves, así que los ejemplos salen del registro público de incidentes de 2025 y 2026, con las fuentes enlazadas para que puedas comprobar cada uno.
MCP01: Token Mismanagement and Secret Exposure
Qué es. Las credenciales escritas en el código, los tokens de larga duración y los secretos guardados en la memoria del modelo o en los logs pueden extraerse mediante prompt injection, contexto comprometido o trazas de depuración.
Ejemplo real. En el incidente de Supabase y Cursor de julio de 2025, resumido por la Cloud Security Alliance, un agente con acceso privilegiado a la base de datos filtró tokens tras procesar el contenido malicioso de un ticket de soporte.
Mitigación. La ficha de OWASP recomienda vaults con los secretos inyectados en tiempo de ejecución, tokens de corta duración y alcance limitado ligados a un agente, una herramienta o una sesión, contextos efímeros para las operaciones con credenciales y redacción antes de registrar. Una gateway puede guardar las credenciales para que el agente nunca las tenga.
MCP02: Privilege Escalation via Scope Creep
Qué es. Los permisos se amplían con el tiempo hasta que un agente puede hacer mucho más de lo que necesita su tarea.
Ejemplo real. En mayo de 2025, Invariant Labs demostró que un agente con acceso a repositorios públicos y privados podía leer un issue malicioso en un repositorio público y publicar detalles de repositorios privados, según informó DevClass el 27 de mayo de 2025.
Mitigación. La ficha de OWASP pide permisos mínimos definidos por agente antes del despliegue, tokens con caducidad con elevación puntual y puertas de aprobación, una identidad única por agente, revisiones automáticas de permisos que alerten cuando aumentan y separar quién concede permisos de quién despliega.
MCP03: Tool Poisoning
Qué es. Un adversario compromete las herramientas, los plugins o los resultados en los que se apoya un modelo. La tabla resumen de OWASP enumera tres subtécnicas: rug pulls (una herramienta aprobada cambia después), schema poisoning y tool shadowing. La ficha detallada se centra en el schema poisoning, que manipula el contrato entre el agente y la herramienta para que el agente falle mientras pasa una validación superficial. También pueden ocultarse instrucciones en la descripción de una herramienta mientras su código es inocuo. OWASP enumera señales que buscar: instrucciones dirigidas al modelo, referencias a rutas sensibles, patrones de exfiltración, caracteres de ancho cero e instrucciones escondidas en comentarios.
Ejemplo real. El CVE-2025-54136 de Cursor, conocido como MCPoison, permitía que las configuraciones MCP aprobadas cambiaran sin revalidarse, de modo que las ediciones posteriores se ejecutaban en silencio, según la misma nota de la CSA.
Mitigación. La ficha de OWASP recomienda firmar esquemas y manifiestos y versionarlos por hash, guardarlos en un registro inmutable y revisado, exigir aprobación humana en las versiones críticas, codificar los invariantes como policy-as-code, registrar el hash del esquema en cada invocación y revalidar en tiempo de ejecución.
MCP04: Software Supply Chain Attacks and Dependency Tampering
Qué es. Una dependencia, un conector o un servidor comprometido cambia el comportamiento del agente o añade una puerta trasera.
Ejemplo real. La versión 1.0.16 del paquete npm postmark-mcp, publicada el 17 de septiembre de 2025, añadió una línea que copiaba a la dirección de un atacante cada correo enviado a través de él. The Hacker News informó de 1.643 descargas el 29 de septiembre de 2025, citando a Koi Security. Por separado, CVE-2025-6514 (CVSS 9,6, 9 de julio de 2025) permitía que un servidor no confiable provocara la ejecución de comandos en mcp-remote.
Mitigación. La ficha de OWASP recomienda firmas criptográficas para SDK, plugins y manifiestos, instantáneas de SBOM y CBOM por servidor, versiones fijadas sin etiquetas "latest", análisis de composición de software y plugins de terceros en sandbox.
MCP05: Command Injection and Execution
Qué es. Un agente construye comandos de shell, scripts o llamadas a API a partir de entrada no confiable sin validarla.
Ejemplo real. CVE-2026-0755 (CVSS 9,8, publicado el 23 de enero de 2026) es una inyección de comandos sin autenticación en el método execAsync de gemini-mcp-tool.
Mitigación. La ficha de OWASP recomienda listas de permitidos para comandos, argumentos y rutas, evitar shell=True, eval y los comandos construidos con cadenas, ejecutar las herramientas en sandbox con timeouts y sistemas de archivos de solo lectura, usar un usuario sin privilegios de root, validar en los límites de cada herramienta y exigir aprobación en las acciones destructivas.
MCP06: Prompt Injection via Contextual Payloads (Intent Flow Subversion)
Qué es. Llegan instrucciones maliciosas dentro del contenido que procesa el agente: documentos, páginas, tickets o resultados de herramientas. OWASP usa dos nombres para este riesgo en sus páginas: Prompt Injection via Contextual Payloads e Intent Flow Subversion. El segundo nombra el mecanismo. Un agente convierte la petición del usuario en llamadas a herramientas usando contexto recuperado, y las instrucciones maliciosas de ese contexto anulan la intención en pleno flujo, de modo que el agente parece seguir atendiendo la petición original.
Ejemplo real. El ataque del issue de GitHub descrito antes es el caso de referencia.
Mitigación. La ficha de OWASP recomienda anclar el objetivo del usuario y puntuar cada acción planificada frente a él mediante un punto de decisión de políticas, que un guardrail independiente revise las llamadas propuestas, tratar las salidas de herramientas como no confiables por defecto, etiquetar el contenido recuperado como datos y vigilar la deriva de intención con reautenticación humana. La visión a nivel de LLM está en el OWASP Top 10 for LLM Applications.
MCP07: Insufficient Authentication and Authorization
Qué es. Los servidores MCP, las herramientas o los agentes no verifican identidades ni aplican controles de acceso, lo que abre caminos críticos en entornos con varios agentes y varios usuarios.
Ejemplo real. nginx-ui registró su endpoint /mcp_message sin el middleware de autenticación que sí usaba su endpoint /mcp. CVE-2026-33032 (CVSS 9,8) afectó a unas 2.600 instancias públicas y se informó de su explotación desde finales de marzo de 2026.
Mitigación. La ficha de OWASP recomienda TLS mutuo, tokens de corta duración y alcance limitado ligados a la identidad del agente, validación de cada token en el servidor, acceso denegado por defecto evaluado en cada petición y un IAM u OIDC central. No expongas nunca un servidor sin autenticar. La guía de autenticación MCP explica el flujo.
MCP08: Lack of Audit and Telemetry
Qué es. Una telemetría limitada ralentiza la investigación y la respuesta a incidentes. OWASP pide logs detallados de las invocaciones de herramientas, los cambios de contexto y las interacciones entre usuario y agente, guardados en registros de auditoría inmutables.
Mitigación. La ficha de OWASP recomienda logs estructurados y a prueba de manipulaciones en almacenamiento de una sola escritura, reenvío a un SIEM, trazas con OpenTelemetry, líneas base de comportamiento y una retención alineada con los requisitos de cumplimiento.
MCP09: Shadow MCP Servers
Qué es. Los despliegues de MCP no aprobados o sin supervisión funcionan fuera del gobierno formal, a menudo con credenciales por defecto o ajustes permisivos.
Ejemplo real. La nota de la CSA pide a los equipos inventariar todos los servidores MCP, incluidos los añadidos desde herramientas de desarrollo como Cursor, Windsurf y Claude Desktop, y verificar su estado de parcheo.
Mitigación. La ficha de OWASP recomienda un registro central que haga fallar los despliegues de CI/CD de instancias no registradas, escaneos continuos de descubrimiento de puertos y rutas MCP como /mcp y plantillas seguras por defecto que exijan autenticación. Canaliza todo el tráfico MCP por un único camino controlado.
MCP10: Context Injection and Over-Sharing
Qué es. Cuando el contexto de trabajo es compartido, persistente o está mal acotado, la información sensible se filtra entre tareas, usuarios o agentes.
Ejemplo real. Asana lanzó su función MCP el 1 de mayo de 2025. Un fallo lógico permitió que algunos usuarios vieran datos de otras organizaciones hasta que Asana lo encontró el 4 de junio, y se vieron afectados unos 1.000 clientes, según informó BleepingComputer el 18 de junio de 2025.
Mitigación. La ficha de OWASP recomienda un contexto efímero por sesión con TTL, espacios de nombres separados por usuario, agente y tenant, clasificación de datos, redacción antes de almacenar y aprobación humana antes de exportar contexto sensible. Mira cómo es el envenenamiento de memoria y contexto para el caso persistente.
)
Cómo usar la lista en tu organización
Usa la lista como una revisión en cinco pasos: inventaría cada servidor MCP, acota a qué puede acceder cada agente, inspecciona el contenido de las herramientas, registra cada llamada y prueba el resultado. Sigue los pasos en orden, porque no puedes acotar lo que no has encontrado.
| Paso | Qué hacer | Riesgos que aborda |
|---|---|---|
| 1. Inventariar | Lista cada servidor, quién es su responsable, cómo se autentica y qué datos toca, incluidos los servidores en equipos de desarrollo | MCP09, MCP04, MCP07 |
| 2. Acotar | Da a cada agente solo sus herramientas, credenciales de corta duración e identidad por usuario; fija las definiciones de herramientas | MCP01, MCP02, MCP03 |
| 3. Inspeccionar | Revisa las descripciones y los resultados de las herramientas antes de que el agente actúe; exige aprobación en las acciones sensibles | MCP06, MCP03, MCP05 |
| 4. Registrar | Guarda un log de cada llamada y conserva el registro | MCP08, MCP10 |
| 5. Probar | Ataca tus propios agentes con inyección y mal uso de herramientas antes de que lo hagan los atacantes | Los diez |
¿Nuevo en el protocolo? Empieza por qué es un servidor MCP.
Cómo cubren la lista una gateway y una capa de runtime
Una gateway y una capa de runtime cubren los riesgos que viajan por el tráfico de IA: la identidad, el acceso a herramientas, las descripciones y los resultados de las herramientas, y el registro de cada llamada. No pueden arreglar el código dentro de un servidor, y por eso cuatro de los diez riesgos se comparten con el cliente.
NeuralTrust se sitúa en ese camino. Agent Gateway (TrustGate) es el punto único por el que pasan las llamadas a modelos y servidores MCP, y su registro funciona como una lista de permitidos: nada se enruta a ningún sitio hasta que existe allí, y cada instancia de servidor MCP puede usar su propia credencial, que guarda la gateway para que el agente no la reciba nunca. Agent Runtime Security (TrustGuard) inspecciona el contenido y, según la política, registra, bloquea, enmascara o pide confirmación. Juntos forman el Runtime Security Mesh. La tabla muestra nuestra evaluación propia frente a la lista beta de 2025.
| Riesgo | Qué hace la capa de control | Qué queda de tu lado | Cobertura |
|---|---|---|---|
| MCP01 Token Mismanagement | La gateway guarda las credenciales de los servidores, cuentas por usuario, detecta claves en el tráfico | Nada específico del tráfico MCP | Cubierto |
| MCP02 Scope Creep | Herramientas asignadas por aplicación, acceso por persona y grupo | Nada específico del tráfico MCP | Cubierto |
| MCP03 Tool Poisoning | Inspecciona las descripciones y los resultados de las herramientas en busca de instrucciones ocultas, incluidos los cambios posteriores | Nada específico del tráfico MCP | Cubierto |
| MCP04 Supply Chain | El registro permite solo servidores aprobados; inspecciona el texto de sus herramientas | Revisar el código, las dependencias y el editor de cada servidor; fijar versiones | Compartido |
| MCP05 Command Injection | Detecta la inyección que precede a la ejecución; limita las herramientas invocables | Validar las entradas dentro de cada servidor | Compartido |
| MCP06 Prompt Injection via Context | Inspecciona resultados de herramientas, enlaces y archivos; puede bloquear la llamada | Nada específico del tráfico MCP | Cubierto |
| MCP07 Authentication | Autentica aplicaciones y personas antes de cualquier llamada | Nada específico del tráfico MCP | Cubierto |
| MCP08 Audit and Telemetry | Registra el llamante, la decisión de política, el coste y la latencia de cada llamada | Nada específico del tráfico MCP | Cubierto |
| MCP09 Shadow Servers | Solo los servidores registrados son accesibles a través de la gateway | Bloquear las conexiones MCP directas desde los dispositivos | Compartido |
| MCP10 Over-Sharing | Cuentas por usuario, enmascaramiento de datos personales | Separar el contexto y la memoria de cada usuario en la aplicación | Compartido |
Lee las filas "Compartido" como un límite, no como un hueco, porque el código del servidor, las conexiones directas desde un portátil y la memoria de la aplicación quedan fuera del tráfico de IA. Hay más sobre la parte de gateway en AI gateway para IA agéntica.
Por dónde empezar
Empieza por la situación que mejor encaje con tu exposición actual, porque cada punto de partida cierra primero un conjunto distinto de riesgos. La tabla relaciona cuatro situaciones habituales con el primer control que conviene poner en marcha en tu entorno y los riesgos que aborda.
| Tu situación | Empieza aquí | Riesgos |
|---|---|---|
| No sabes qué servidores MCP usan los equipos | Inventario y un registro aprobado | MCP09, MCP04 |
| Los agentes comparten un token entre usuarios | Identidad por usuario y tokens de corta duración | MCP01, MCP02, MCP07 |
| Los agentes leen correo, tickets o issues | Inspeccionar los resultados de herramientas y exigir aprobación en las acciones | MCP06, MCP03 |
| Construyes y alojas tus propios servidores | Validación de entradas, sandboxing y revisión de dependencias | MCP05, MCP04 |
Conclusión
El OWASP MCP Top 10 da a los equipos de seguridad un vocabulario común para la capa de herramientas de los sistemas de agentes, y los incidentes de 2025 y 2026 muestran que estos riesgos ya se explotan. Trátalo como una checklist beta: inventaría servidores, acota credenciales, inspecciona el contenido de las herramientas, registra cada llamada y prueba. Una gateway cierra los riesgos que cruzan el tráfico de IA, mientras que el código del servidor sigue siendo tu responsabilidad.
Protege tus servidores MCP en producción con NeuralTrust
Pon un único camino controlado delante de cada servidor MCP que usen tus agentes, con identidad por usuario, un registro aprobado y un registro de cada llamada. Descubre cómo funciona Agent Gateway (TrustGate) en neuraltrust.ai/ai-gateway, o reserva una demo.
)
Lecturas relacionadas
- OWASP Top 10 for LLM Applications 2026
- OWASP Top 10 for Agentic Applications 2026
- Autenticación MCP: cómo proteger los servidores MCP
- ¿Qué es un servidor MCP?
Preguntas frecuentes sobre OWASP MCP Top 10
1. ¿Qué es el OWASP MCP Top 10?
El OWASP MCP Top 10 es una lista mantenida por la comunidad con los diez riesgos de seguridad más críticos del Model Context Protocol, desde la exposición de tokens y el tool poisoning hasta los servidores en la sombra. Es la edición de 2025 y está en beta, así que es una checklist de trabajo que OWASP prevé afinar antes de una versión final.
2. ¿Cuáles son los diez riesgos del OWASP MCP Top 10?
Son MCP01 Token Mismanagement and Secret Exposure, MCP02 Privilege Escalation via Scope Creep, MCP03 Tool Poisoning, MCP04 Software Supply Chain Attacks, MCP05 Command Injection and Execution, MCP06 Prompt Injection via Contextual Payloads, MCP07 Insufficient Authentication and Authorization, MCP08 Lack of Audit and Telemetry, MCP09 Shadow MCP Servers y MCP10 Context Injection and Over-Sharing.
3. ¿Es definitivo el OWASP MCP Top 10?
No. La página del proyecto lo sitúa en la fase 3 de cinco, Beta Release and Pilot Testing, con la versión final y la mejora continua todavía por delante. Las entradas llevan la etiqueta 2025, así que es de esperar que cambien nombres, orden o alcance. Consulta la página del proyecto antes de citarlo en una auditoría.
4. ¿En qué se diferencia del OWASP Top 10 for LLM Applications?
La lista de LLM cubre los riesgos de las aplicaciones que usan modelos de lenguaje, como la prompt injection y el consumo sin límites. La lista de MCP cubre la capa de conexión con herramientas: servidores, tokens, descripciones de herramientas y contexto compartido. Muchos ataques cruzan ambas, y por eso MCP06 se solapa con la prompt injection de LLM.
5. ¿Qué diferencia hay entre Intent Flow Subversion y Prompt Injection via Contextual Payloads?
Son dos nombres de MCP06, y OWASP usa ambos en sus páginas. Prompt Injection via Contextual Payloads describe la carga: instrucciones ocultas en el contenido que lee un agente. Intent Flow Subversion describe el efecto: esas instrucciones anulan la intención del usuario dentro del plan del agente, de modo que el agente parece seguir haciendo lo que se le pidió.
6. ¿MCP exige autenticación?
No. La especificación de MCP (revisión 2026-07-28) dice que la autorización es opcional. Las implementaciones basadas en HTTP deben seguir el flujo basado en OAuth cuando lo admiten, y los servidores STDIO deben tomar las credenciales del entorno. Por eso la seguridad depende de cómo se despliega cada servidor, que es lo que aborda MCP07.
7. ¿Puede una gateway cubrir todos los puntos de la lista?
No. Una gateway cubre los riesgos que viajan por el tráfico de IA, como la identidad, el acceso a herramientas, las descripciones de herramientas y los registros de llamadas. No puede validar la entrada dentro del código de un servidor, revisar dependencias ni bloquear conexiones que la esquivan. En la evaluación de NeuralTrust, seis riesgos quedan cubiertos y cuatro se comparten.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde lidera la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Se especializa en búsqueda con IA, estrategia de contenidos y SEM. Conecta en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Reconocida como Pioneer en el Gartner Emerging Market Quadrant for AI Application Security 2026, presente en cuatro informes Gartner Hype Cycle en 2026 y destacada en el Gartner Market Guide for Guardian Agents 2026, el Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- OWASP Foundation, OWASP MCP Top 10 y repositorio de GitHub, beta de 2025, consultado el 27 de octubre de 2026.
- Model Context Protocol, Authorization specification, revisión 2026-07-28.
- Cloud Security Alliance, MCP Security Crisis: Systemic Design Flaws in AI Agent Infrastructure, 4 de mayo de 2026.
- Cloud Security Alliance, CVE-2026-33032: Nginx-UI MCP Authentication Bypass, 16 de abril de 2026.
- Tenable, CVE-2026-0755, publicado el 23 de enero de 2026.
- Tenable, CVE-2025-6514, publicado el 9 de julio de 2025.
- The Hacker News, First Malicious MCP Server Found, 29 de septiembre de 2025.
- BleepingComputer, Asana warns MCP AI feature exposed customer data to other orgs, 18 de junio de 2025.
- DevClass, Researchers warn of prompt injection vulnerability in GitHub MCP with no obvious fix, 27 de mayo de 2025.
- NeuralTrust Docs, Registry, consultado el 27 de octubre de 2026.