MCP Security Checklist для Cursor, Claude Code и Copilot: что проверить перед подключением MCP-сервера

Практическое руководство по безопасному подключению MCP-серверов в AI-инструментах разработчика: реальные CVE, векторы атак и пошаговый чек-лист для команд

Зачем MCP-сервер опаснее, чем кажется

Model Context Protocol (MCP) — стандарт от Anthropic для подключения LLM-агентов к внешним инструментам, данным и сервисам [3]. На практике это означает: ваш AI-ассистент в IDE получает возможность выполнять shell-команды, читать файлы, делать API-вызовы, подключаться к базам данных и отправлять сетевые запросы — всё это в рамках одного рабочего сеанса.

Ключевое отличие от обычного плагина или расширения: MCP-сервер работает с теми же привилегиями, что и разработчик за терминалом [19]. Агент принимает решения автономно, и вся цепочка инструкций — пользователь, LLM, MCP-сервер, внешние системы — становится поверхностью атаки.

Именно поэтому безопасная установка MCP-сервера — это не UX-вопрос и не дело вкуса. Это вопрос контроля над тем, что происходит от имени вашей команды.

Архитектура риска: как устроена цепочка

Прежде чем проверять конкретный сервер, важно понять модель угроз. В типичной MCP-схеме три уровня:

1. Хост (Host) — AI-приложение в IDE (Cursor, Claude Code, VS Code с Copilot). Здесь живёт LLM и принимаются решения об инструментах.
2. Клиент (Client) — компонент, который разбирает запросы и маршрутизирует их к MCP-серверам.
3. Сервер (Server) — внешний процесс или облачный эндпоинт. Предоставляет инструменты (Tools), ресурсы (Resources) и промпты (Prompts) [1].

Атака может происходить на любом из этих уровней. Злоумышленник не обязательно компрометирует вашу машину напрямую: достаточно внедрить инструкции в данные, которые агент прочитает, или подменить описание инструмента в метаданных сервера.

Реальные CVE: что уже произошло в 2025–2026

Cursor

Cursor оказался под прицелом сразу нескольких исследовательских групп.

CVE-2025-54136 (MCPoison, Check Point Research) — уязвимость в механизме доверия к конфигурационным файлам. Cursor исторически привязывал доверие к имени ключа MCP-конфигурации, а не к самой команде. Один раз одобренный конфиг можно было тихо изменить в репозитории, и Cursor выполнял новые команды без повторного запроса. Уязвимость позволяла организовать persistent RCE для всей команды, работающей с одним репозиторием [11][15].

CVE-2025-54135 (CurXecute, Aim Security) — цепочка атак через prompt injection из внешних данных. Исследователи показали: вредоносное сообщение в публичном Slack-канале, которое агент читает по запросу пользователя, может переписать .cursor/mcp.json и добавить вредоносный сервер без явного согласия [12].

CVE-2025-59944 (Lakera) — обход защиты через регистр символов. Cursor проверял пути к конфигурационным файлам с учётом регистра, тогда как macOS и Windows по умолчанию регистронезависимы. Создание файла .cUrSoR/mcp.json обходило проверку и загружалось операционной системой как обычный .cursor/mcp.json [14].

CVE-2025-64106 (Cyata Security) — уязвимость в механизме deep-link установки MCP, CVSS 8.8. Недостаточная валидация при обработке ссылок "Add to Cursor" могла приводить к установке произвольного кода [18].

Claude Code

CVE-2025-52882 (Datadog Security Labs) — WebSocket без аутентификации в расширениях Claude Code для VS Code. Злоумышленник мог выполнить команды, доступные MCP-серверу, включая чтение файлов и выполнение кода. Anthropic отозвал уязвимые версии [20].

CVE-2025-59536 (Check Point Research, CVSS 8.7) — код-инъекция через конфигурационные файлы репозитория. Параметр enableAllProjectMcpServers: true в .claude/settings.json позволял запускать MCP-серверы до того, как пользователь подтверждал доверие к директории [25][26].

CVE-2026-21852 — утечка API-ключа через перехват URL. Если в репозитории устанавливалась переменная ANTHROPIC_BASE_URL на сервер атакующего, Claude Code отправлял API-запросы — вместе с заголовком авторизации — до появления consent-диалога [24].

Помимо патченных CVE, исследователь описал уязвимость TrustFall: более ранние версии Claude Code предупреждали о MCP-выполнении явно и давали опцию продолжить без MCP-серверов. В версии 2.1 оба поведения убрали, что фактически снизило уровень осознанности разработчика [22].

VS Code Copilot и mcp-remote

CVE-2025-6514 (JFrog Security Research, CVSS 9.6) — критическая уязвимость в пакете mcp-remote (более 437 000 загрузок). Пакет использовался Cursor и другими клиентами как OAuth-прокси. Проблема: mcp-remote брал URL эндпоинта авторизации напрямую от сервера, не проверяя содержимое. Вредоносный сервер мог встроить shell-команды в URL authorization_endpoint, которые выполнялись на машине разработчика [10][16].

Gemini CLI, VS Code, Windsurf и Cherry Studio получили три связанных CVE (CVE-2025-54074 и смежные) за аналогичную проблему: ненадёжную обработку authorization_endpoint при открытии через системный URL-обработчик [16].

Типология атак, которую нужно понимать

Tool poisoning

Злоумышленник встраивает вредоносные инструкции в описание (metadata) инструмента MCP-сервера. Пользователь видит безобидное название; LLM читает полное описание и выполняет скрытую инструкцию — например, отправить ~/.ssh/id_rsa в инструмент "logs" перед возвратом результата [28][40].

Исследование MCPTox 2025 года протестировало 20 LLM-агентов на 45 реальных MCP-серверах. Результаты: o1-mini показал успешность атаки 72,8%. Claude 3.7-Sonnet имел наивысший показатель отказа — менее 3% [39]. Это означает, что выравнивание (alignment) модели не является надёжной защитой.

Rug pull

Сервер сначала работает корректно, проходит проверку, получает одобрение. Через неделю его описание тихо обновляется с добавлением вредоносных инструкций — без уведомления пользователя и без повторного запроса на разрешение [38][40]. Datadog описывает реальный сценарий: одобренный AWS MCP-сервер изменил описание инструмента так, что Claude Code начал удалять S3-бакеты вместо их перечисления [8].

Prompt injection через внешние данные

Агент читает данные из внешнего источника (Slack-сообщение, Jira-тикет, ответ API) — и этот источник содержит инструкции для LLM. Агент воспринимает их как легитимные команды. OWASP ставит этот вектор на первое место в Top 10 для LLM-приложений 2025 года [39].

Supply chain через реестры пакетов

Вредоносные MCP-серверы распространяются через PyPI, npm, Docker Hub под похожими названиями (typosquatting) или как обновления легитимных пакетов. CVE-2025-6514 стал частью более широкой кампании; аналогичные кампании зафиксированы в npm и PyPI на протяжении всего 2025 года [44][5].

Confused deputy

MCP-сервер выполняет операции от имени пользователя, но с правами более широкими, чем сам пользователь намеревался предоставить. Это особенно актуально при неправильно настроенных OAuth-скоупах: широкий токен files: или admin:, однажды выданный, даёт атакующему доступ ко всему — без повторной аутентификации [3].

MCP Security Checklist: что проверить перед подключением

Этот чек-лист применим к любому MCP-серверу вне зависимости от того, какой инструмент вы используете: Cursor, Claude Code или VS Code с Copilot в режиме агента.

Блок 1: Проверка источника и идентичности сервера

1. Проверьте, кто опубликовал пакет и когда. Новый аккаунт + популярное название — высокий риск typosquatting.
2. Сверьте имя пакета в npm/PyPI с официальной документацией сервиса. Точное совпадение обязательно; даже один символ разницы — красный флаг.
3. Убедитесь, что репозиторий сервера активно поддерживается: последний коммит, открытые issues, ответы мейнтейнеров.
4. Проверьте историю пакета: нет ли внезапной смены владельца, необъяснённых скачков версий или удалённых тегов.
5. Проверьте наличие подписи (code signing) или верифицированного издателя, если MCP-клиент поддерживает это (Docker MCP Catalog, GitHub registry).

Блок 2: Проверка разрешений и учётных данных

1. Определите, какие учётные данные требует сервер. Если требуются статичные API-ключи или PAT — это уже риск: 53% MCP-серверов используют долгосрочные секреты [7].
2. Проверьте, где будут храниться секреты: в .env-файле в репозитории, в переменных окружения IDE, в менеджере секретов. Только последний вариант приемлем для командной работы.
3. Убедитесь, что OAuth-скоупы минимальны: не files:, а конкретные директории; не admin:, а конкретные операции [3].
4. Определите, поддерживает ли сервер ротацию ключей и короткоживущие токены. Долгосрочный PAT без ротации — системный риск.
5. Проверьте, есть ли в конфигурации явное разграничение: какие ресурсы сервер может читать, какие — изменять.

Блок 3: Проверка описания инструментов (tool metadata)

1. Откройте полное описание каждого инструмента (tool description), которое видит LLM. Проверьте наличие скрытых инструкций, особенно конструкций вида IMPORTANT:, SYSTEM:, упоминаний ~/.ssh, env, cat, curl в тексте описания [28].
2. Сравните описание инструментов с документацией. Инструмент с описанием "возвращает список файлов", который также упоминает "отправку логов" — red flag.
3. Убедитесь, что в описании нет инструкций, адресованных агенту, а не человеку.
4. Проверьте, уведомит ли вас клиент (IDE), если описание инструментов изменится. Если нет — сервер потенциально уязвим к rug pull.

Блок 4: Проверка сетевого доступа и изоляции

1. Определите, выполняется ли сервер локально (stdio) или удалённо (HTTP/SSE). Для remote-серверов требуется HTTPS; plaintext HTTP — неприемлемо [10].
2. Проверьте, к каким внешним хостам сервер обращается. Неожиданные исходящие соединения — признак exfiltration.
3. Убедитесь, что локальный MCP-сервер не слушает на 0.0.0.0 (вместо 127.0.0.1): это открывает атаки из локальной сети (CVE-2025-49596, NeighborJack) [20].
4. Проверьте, ограничен ли сетевой доступ сервера: только нужные хосты и порты, никакого неограниченного интернет-эгресса.

Блок 5: Проверка конфигурационных файлов

1. Откройте .cursor/mcp.json, .mcp.json, .claude/settings.json и аналогичные файлы. Убедитесь, что там нет параметров enableAllProjectMcpServers: true или enabledMcpjsonServers с широкими правами [25].
2. Проверьте, что конфигурационные файлы не находятся в общем репозитории без code review. Изменение одного конфига = потенциальный вектор для всей команды [11].
3. Убедитесь, что IDE требует подтверждения при каждом изменении MCP-конфига (Cursor 1.3+) — не только при первоначальной установке.
4. Проверьте наличие hooks в .claude/settings.json: hooks выполняются при событиях агента (PreToolUse, PostToolUse) и могут содержать произвольные shell-команды [25].

Блок 6: Проверка OAuth-потока (если применимо)

1. Убедитесь, что клиент проверяет authorization_endpoint, который возвращает сервер, и не передаёт его напрямую в системный shell-обработчик [16].
2. Проверьте версию mcp-remote: до 0.1.16 уязвим к CVE-2025-6514 (RCE через инъекцию в URL авторизации). Пиньте конкретную версию, не используйте @latest в продакшне [16].
3. Убедитесь, что redirect URI в OAuth-конфигурации явно ограничены: открытые редиректы — вектор кражи токенов [5].
4. Проверьте, что сессионные идентификаторы генерируются случайно (UUID) и привязаны к идентификатору пользователя: это защита от session hijacking [3].

Блок 7: Проверка runtime и изоляции процессов

1. Убедитесь, что сервер запускается с минимальными привилегиями, а не под root или с sudo. Принцип least privilege [1].
2. По возможности запускайте MCP-серверы в контейнере с read-only filesystem, ограничением CPU/memory и отключённым сетевым эгрессом [2].
3. Проверьте, что фоновые процессы сервера корректно завершаются при закрытии IDE: persistent background activity — признак нежелательного поведения [1].
4. Убедитесь, что у вас есть audit log вызовов MCP-инструментов: без логов расследование инцидента невозможно [2].

Блок 8: Governance и командные процессы

1. Определите allowlist одобренных MCP-серверов для команды. GitHub Copilot предоставляет MCP registry для этого; в Cursor и Claude Code — политика через конфиг [31][33].
2. Установите процесс ревью перед добавлением нового MCP-сервера: аналогично ревью зависимостей в package.json.
3. Зафиксируйте версии серверов (pin versions) — не используйте floating tags. Rug pull работает именно через тихое обновление без уведомления.
4. Отключите auto-run (YOLO-режим) в Cursor и аналогичные режимы автоматического выполнения terminal-команд в Copilot [17][33].
5. Определите, кто в команде имеет право добавлять MCP-серверы в общий репозиторий. Это изменение должно требовать того же ревью, что и изменение Dockerfile или ci.yml.

Специфика отдельных инструментов

Cursor

После серии инцидентов 2025 года Cursor существенно улучшил механику consent. Начиная с версии 1.3, любое изменение MCP-конфигурации требует явного подтверждения [15]. Версия 1.7 закрыла обход через регистр символов [14]. Тем не менее Cursor остаётся одним из наиболее уязвимых клиентов к cross-tool poisoning по данным эмпирического анализа семи MCP-клиентов [28].

Что проверить дополнительно для Cursor:

• убедитесь, что используете версию не ниже 1.7;
• проверьте .cursor/mcp.json в каждом клонированном репозитории до запуска агента;
• отключите YOLO Mode (автоматическое выполнение shell-команд без подтверждения).

Claude Code

Claude Code — инструмент с широкими агентными возможностями: он может читать весь репозиторий, выполнять shell-команды, делать коммиты и пуши. Именно это делает критической цепочку "открыть untrusted репозиторий → запустить Claude Code".

CVE-2025-59536 и CVE-2026-21852 были вызваны именно тем, что конфигурационные файлы репозитория обрабатывались до появления consent-диалога [25][26]. Anthropic устранил оба. Однако уязвимость TrustFall (май 2026), описанная исследователем по материалам утечки исходного кода, показывает: архитектурная граница между "открыть проект" и "дать агенту полный доступ" продолжает размываться [22].

Что проверить дополнительно для Claude Code:

• используйте версию не ниже 2.1.90 (закрыт bypass deny rules);
• никогда не запускайте с флагом --dangerously-skip-permissions в несандбоксированной среде;
• перед работой с незнакомым репозиторием явно проверьте .claude/settings.json и .mcp.json на наличие enableAllProjectMcpServers и hooks с shell-командами.

GitHub Copilot (Agent Mode + MCP)

Copilot Agent Mode с поддержкой MCP появился для всех пользователей VS Code в 2025 году [29]. Ключевой организационный риск: эта функциональность появилась в продукте, который многие компании уже лицензировали — без отдельного security review [32]. Политика "MCP servers in Copilot" по умолчанию отключена для организаций; включать следует осознанно [31].

Что проверить дополнительно для Copilot:

• на уровне организации убедитесь, что политика MCP-серверов явно настроена (не оставлена в состоянии по умолчанию);
• используйте GitHub MCP registry для allowlisting одобренных серверов;
• включите push protection — она предотвращает попадание секретов в ответы агента и в PR [31].

Ошибки, которые делают большинство команд

Ошибка первая: доверие на основе популярности. "Этот сервер используют тысячи людей" — не аргумент. CVE-2025-6514 затронул пакет mcp-remote с 437 000+ загрузок [5]. Популярность создаёт иллюзию проверенности.

Ошибка вторая: однократная проверка при установке. Tool poisoning и rug pull работают именно потому, что инструмент одобряют один раз, а потом перестают проверять. Без мониторинга изменений в tool metadata вы не узнаете о подмене.

Ошибка третья: секреты в .env-файлах, добавленных в репозиторий. Даже в .gitignore-файле — они попадают в логи, в историю, в artifact storage CI/CD. Статичный PAT в репозитории — это не просто misconfiguration; это открытая дверь для любого, кто получит доступ к репо.

Ошибка четвёртая: широкие OAuth-скоупы. "Взять максимально широкий скоуп, чтобы всё работало" — стандартный путь к тому, чтобы одна скомпрометированная сессия дала атакующему доступ ко всему [3].

Ошибка пятая: игнорирование конфигурационных файлов в репозитории. .mcp.json, .cursor/mcp.json, .claude/settings.json — эти файлы теперь часть execution layer, а не просто метаданные [26]. Их нужно ревьюить как код.

Кейсы

Asana: утечка данных между тенантами через MCP

В сценарии, описанном в публичных исследованиях, ошибка в механизме управления сессиями MCP-интеграции Asana позволила одному AI-агенту получить данные другого тенанта. Причина — недостаточная изоляция сессионных токенов в мультитенантном окружении [10]. Урок: строгая привязка сессии к идентификатору пользователя (<user_id>:<session_id>) — не опция, а требование [3].

Atlassian Jira + Cato Networks: prompt injection через тикеты

В июне 2025 года исследователи Cato Networks продемонстрировали: вредоносное содержимое Jira-тикета, прочитанного AI-инструментом через MCP, может содержать prompt injection-инструкции, выполняемые агентом. Тикет создаётся внешним пользователем; агент обрабатывает его содержимое как контекст — и следует встроенным инструкциям [12]. Это показывает: любой untrusted input, попадающий в контекст агента через MCP, является потенциальным вектором.

CVE-2025-54136 (MCPoison): компрометация через общий репозиторий

Исследователи Check Point описали реалистичный сценарий: разработчик коммитит в общий репозиторий на первый взгляд нейтральный .cursor/mcp.json. Коллеги клонируют репозиторий, один раз одобряют конфиг. Спустя некоторое время злоумышленник изменяет конфиг — и при следующем открытии проекта каждый из коллег выполняет backdoor-команду. Без повторного запроса, без уведомления [11][13].

Тренды и что будет дальше

OWASP выпустил первый вариант Top 10 для Agentic Applications в декабре 2025 года, поставив Agent Goal Hijacking (ASI01 — по сути prompt injection и tool poisoning) на первое место [23]. Это сигнал: безопасность MCP переходит в статус стандартного compliance-требования, а не экспертной экзотики.

Несколько тенденций в развитии защит:

Attestation для MCP-серверов. Проект ATTESTMCP (2026) предлагает механизм подтверждения подлинности сервера, аналогичный certificate pinning [37]. Пока находится в стадии исследования, но вектор очевиден.

MCP Gateway как обязательный компонент. Docker, ScaleKit и другие вендоры продвигают концепцию policy-enforcing gateway между IDE и MCP-серверами: проверка подписи, allowlist инструментов, перехватчики вызовов, centralized audit log [2][32]. Для корпоративных команд это становится стандартной практикой.

Медленный рост OAuth. По данным Astrix Research, только 8,5% из 5200 проанализированных MCP-серверов используют OAuth [7]. Это означает, что большинство экосистемы по-прежнему работает на долгосрочных статичных секретах — и риск не снижается автоматически вместе с ростом зрелости протокола.

Официальная спецификация MCP продолжает эволюционировать: обновление ноября 2025 года добавило явные требования к безопасности OAuth (Protected Resource Metadata, RFC 9728; Resource Indicators, RFC 8707) [5]. Но между требованием в спецификации и реализацией в реальных серверах — большой разрыв.

Как HighVibe помогает контролировать MCP-риски в командах

Когда разработчик добавляет новый MCP-сервер в конфиг или обновляет .mcp.json в общем репозитории, этот файл становится частью execution layer — но в большинстве команд он попадает в PR без специфического ревью. Ревьюер видит изменение в строке JSON и не читает полное описание инструментов, которое видит LLM.

Именно здесь HighVibe работает как дополнительный слой контроля до merge и релиза: анализирует конкретное изменение в конфигурационных файлах, показывает, что изменилось в tool metadata, какие новые разрешения запрашивает сервер и есть ли в описании инструментов паттерны, характерные для tool poisoning. Не длинный отчёт, а короткий и понятный сигнал: можно ли безопасно принять это изменение сейчас highvibe.dev.

Выводы и что делать прямо сейчас

MCP-сервер — это не расширение для удобства. Это внешний код, который получает те же права, что и разработчик за терминалом. И именно это делает процедуру проверки перед подключением обязательной, а не опциональной.

Что сделать сегодня:

1. Обновите Cursor до 1.7+, Claude Code до 2.1.90+, убедитесь что mcp-remote не ниже 0.1.16.
2. Проверьте все существующие .cursor/mcp.json и .mcp.json в ваших репозиториях — особенно на наличие enableAllProjectMcpServers: true.
3. Введите allowlist MCP-серверов на уровне команды и запретите добавление новых без явного ревью.
4. Отключите YOLO Mode / terminal auto-approve во всех инструментах.
5. Перенесите секреты из .env-файлов в менеджер секретов, ротируйте API-ключи.
6. Убедитесь, что у вас есть audit log вызовов MCP-инструментов — без него расследование инцидента невозможно.

Чек-лист выше закрывает основные векторы атак, задокументированные в публичных CVE и исследованиях 2025–2026 года. Он не заменяет полноценный AppSec-процесс, но позволяет принять обоснованное решение о подключении конкретного сервера — до того, как агент успел что-то сделать от вашего имени.

Источники

[1] SlowMist — "MCP-Security-Checklist" — https://github.com/slowmist/MCP-Security-Checklist

[2] Docker — "MCP Security: Risks, Challenges, and How to Mitigate" — https://www.docker.com/blog/mcp-security-explained/

[3] Model Context Protocol — "Security Best Practices" — https://modelcontextprotocol.io/specification/draft/basic/security_best_practices

[4] Red Hat — "Model Context Protocol (MCP): Understanding security risks and controls" — https://www.redhat.com/en/blog/model-context-protocol-mcp-understanding-security-risks-and-controls

[5] Network Intelligence — "MCP Security Checklist: Complete Protection Guide 2026" — https://www.networkintelligence.ai/blogs/model-context-protocol-mcp-security-checklist/

[6] OWASP GenAI Security Project — "Practical Guide for Securely Using Third-Party MCP Servers 1.0" — https://genai.owasp.org/resource/cheatsheet-a-practical-guide-for-securely-using-third-party-mcp-servers-1-0/

[7] Astrix Security — "State of MCP Server Security 2025" — https://astrix.security/learn/blog/state-of-mcp-server-security-2025/

[8] Datadog — "Understanding MCP security: Common risks to watch for" — https://www.datadoghq.com/blog/monitor-mcp-servers/

[9] Gopher Security — "MCP Security OWASP Security Checklist" — https://www.gopher.security/mcp-security/mcp-security-checklist-owasp-best-practices

[10] Data Science Dojo — "The State of MCP Security in 2025: Key Risks, Attack Vectors, and Case Studies" — https://datasciencedojo.com/blog/mcp-security-risks-and-challenges/

[11] The Hacker News — "Cursor AI Code Editor Vulnerability Enables RCE via Malicious MCP File Swaps Post Approval (CVE-2025-54136)" — https://thehackernews.com/2025/08/cursor-ai-code-editor-vulnerability.html

[12] SC Media — "Cursor flaw risks RCE from prompt injections on MCP server (CVE-2025-54135)" — https://www.scworld.com/news/cursor-flaw-risks-rce-from-prompt-injections-on-mcp-server-researchers-say

[13] Check Point Research — "Cursor IDE: Persistent Code Execution via MCP Trust Bypass (MCPoison)" — https://blog.checkpoint.com/research/cursor-ide-persistent-code-execution-via-mcp-trust-bypass/

[14] Lakera — "Cursor Vulnerability CVE-2025-59944: Case-Sensitivity Bug" — https://www.lakera.ai/blog/cursor-vulnerability-cve-2025-59944

[15] Check Point Research — "Cursor IDE's MCP Vulnerability (version 1.3 fix)" — https://research.checkpoint.com/2025/cursor-vulnerability-mcpoison/

[16] TrueFoundry — "MCP Authentication in Cursor: OAuth, API Keys, and Secure Configuration" — https://www.truefoundry.com/blog/mcp-authentication-in-cursor-oauth-api-keys-and-secure-configuration

[17] MintMCP — "Cursor security: complete guide to risks, vulnerabilities & best practices" — https://www.mintmcp.com/blog/cursor-security

[18] Cyata — "Critical Flaw in Cursor MCP Installation (CVE-2025-64106)" — https://cyata.ai/blog/cyata-research-critical-flaw-in-cursor-mcp-installation/

[19] MintMCP — "Securing MCP servers in Cursor: configuration best practices" — https://www.mintmcp.com/blog/securing-servers-with-mcp

[20] Datadog Security Labs — "CVE-2025-52882: WebSocket authentication bypass in Claude Code extensions" — https://securitylabs.datadoghq.com/articles/claude-mcp-cve-2025-52882/

[21] MintMCP — "Claude Code CVE-2025-59536 & CVE-2026-21852: What Enterprise Teams Must Know" — https://www.mintmcp.com/blog/claude-code-cve

[22] Dark Reading — "TrustFall Convention Exposes Claude Code Execution Risk" — https://www.darkreading.com/application-security/trustfall-exposes-claude-code-execution-risk

[23] TrueFoundry — "Prompt Injection and AI Agent Security Risks: A Claude Code Guide for Enterprise Teams" — https://www.truefoundry.com/blog/claude-code-prompt-injection

[24] The Hacker News — "Claude Code Flaws Allow Remote Code Execution and API Key Exfiltration" — https://thehackernews.com/2026/02/claude-code-flaws-allow-remote-code.html

[25] Check Point Blog — "Check Point Researchers Expose Critical Claude Code Flaws" — https://blog.checkpoint.com/research/check-point-researchers-expose-critical-claude-code-flaws/

[26] Check Point Research — "RCE and API Token Exfiltration Through Claude Code Project Files (CVE-2025-59536)" — https://research.checkpoint.com/2026/rce-and-api-token-exfiltration-through-claude-code-project-files-cve-2025-59536/

[27] Vulnerable MCP — "Comprehensive Model Context Protocol Security Database" — https://vulnerablemcp.info/

[28] arXiv — "Are AI-assisted Development Tools Immune to Prompt Injection?" (эмпирический анализ 7 MCP-клиентов) — https://arxiv.org/pdf/2603.21642

[29] DevOps.com — "GitHub Copilot Evolves: Agent Mode and Multi-Model Support" — https://devops.com/github-copilot-evolves-agent-mode-and-multi-model-support-transform-devops-workflows-2/

[30] GitHub Docs — "Enhancing GitHub Copilot agent mode with MCP" — https://docs.github.com/en/copilot/tutorials/enhance-agent-mode-with-mcp

[31] ScaleKit — "GitHub Copilot Added MCP. Now Your Security Team Has Questions It Can't Answer" — https://www.scalekit.com/blog/github-copilot-mcp-enterprise-security-governance

[32] Microsoft Tech Community — "Demystifying GitHub Copilot Security Controls" — https://techcommunity.microsoft.com/blog/azuredevcommunityblog/demystifying-github-copilot-security-controls-easing-concerns-for-organizational/4468193

[33] Elastic Security Labs — "MCP Tools: Attack Vectors and Defense Recommendations for Autonomous Agents" — https://www.elastic.co/security-labs/mcp-tools-attack-defense-recommendations

[34] The Hacker News — "Experts Uncover Critical MCP Prompt Injection and Tool Poisoning Issues" — https://thehackernews.com/2025/04/experts-uncover-critical-mcp-and-a2a.html

[35] Microsoft Developer Blog — "Protecting against indirect prompt injection attacks in MCP" — https://developer.microsoft.com/blog/protecting-against-indirect-injection-attacks-mcp

[36] Security Boulevard — "MCP Security: How to prevent prompt injection and tool poisoning attacks" — https://securityboulevard.com/2026/01/mcp-security-how-to-prevent-prompt-injection-and-tool-poisoning-attacks/

[37] arXiv — "Model Context Protocol Threat Modeling and Analyzing Vulnerabilities to Prompt Injection with Tool Poisoning" — https://arxiv.org/html/2603.22489v1

[38] Simon Willison — "Model Context Protocol has prompt injection security problems" — https://simonwillison.net/2025/Apr/9/mcp-prompt-injection/

[39] Practical DevSecOps — "MCP Security: The Complete Guide to Securing Model Context Protocol in 2026" — https://www.practical-devsecops.com/mcp-security-guide/