Server MCP deprecati: gli agenti AI li installano ancora

Ieri Glow Labs, il gruppo di ricerca di una società di sicurezza, ha pubblicato uno studio che riguarda chiunque in azienda usi un assistente AI per scrivere codice o collegare strumenti. Quando chiedi all’agente di collegare GitHub o un database, spesso installa un server MCP ritirato da più di un anno, che nessuno correggerà più.

Cosa ha scoperto Glow Labs

Ripasso veloce. MCP (Model Context Protocol) è lo standard con cui un agente AI usa strumenti esterni, e ogni strumento passa da un piccolo programma chiamato server MCP. Quando il protocollo è nato, nel 2024, Anthropic ha pubblicato una ventina di server di riferimento per mostrare come costruire le integrazioni. Poi GitHub, Slack e gli altri servizi hanno rilasciato i propri server ufficiali, e secondo Glow 13 di quei server di riferimento sono stati archiviati. Il repository dice chiaramente che non riceveranno più aggiornamenti di sicurezza.

Il problema è che i modelli hanno imparato quei nomi durante l’addestramento. Analizzando trascrizioni reali di sessioni di lavoro, Glow ha visto agenti che, alla richiesta di “un MCP per GitHub”, scrivevano da soli la configurazione con il vecchio pacchetto @modelcontextprotocol/server-github invece del server mantenuto da GitHub. Nel 98% dei casi osservati la scelta veniva dalla memoria del modello, solo nel 2% era l’utente a chiederlo per nome. Il comportamento compare con Claude Code, Cursor, Codex CLI e con modelli di Anthropic, OpenAI e xAI, quindi non è il difetto di un singolo prodotto.

I numeri spiegano perché conta. Dal luglio 2025 i pacchetti deprecati contati da Glow hanno superato i 17 milioni di download su npm (il registro dei pacchetti JavaScript), con server-github oltre i 5 milioni e server-postgres oltre i 4. Nei server archiviati Glow ha trovato quattro vulnerabilità gravi. La peggiore è nel server Puppeteer, quello che fa navigare l’agente sul web. Con una prompt injection, cioè istruzioni nascoste in una pagina che l’agente legge, un attaccante può fargli eseguire qualunque comando sul computer. I manutentori hanno risposto che il server è fuori manutenzione dal maggio 2025 e che una correzione non arriverà. Al momento Glow non ha visto attacchi reali che sfruttino queste falle.

Perché i controlli abituali non lo vedono

Un server lanciato con npx non compare in nessun file di dipendenze, quindi gli strumenti che cercano librerie vulnerabili non lo trovano. L’antivirus vede un normale processo Node che scarica un pacchetto pubblico, e l’inventario software non lo registra. npm nasconde i pacchetti deprecati dalla ricerca ma li installa comunque, con un avviso che l’agente ignora. La traccia resta solo nel file di configurazione MCP sul computer della persona.

Cosa significa in pratica

Prendo un caso che vedo spesso. In un e-commerce il responsabile operativo chiede all’assistente AI di collegare il database degli ordini su Postgres e Slack per gli avvisi di spedizione. L’agente propone il comando, lui lo accetta, tutto funziona. Nessuno sa che su quel portatile gira un server senza patch con accesso agli ordini e ai dati dei clienti. Se lo stesso agente naviga con il server Puppeteer archiviato, basta una pagina malevola per eseguire comandi su quella macchina.

Le contromisure suggerite da Glow sono semplici e si fanno con quello che c’è già. Cercare sui computer del team i file di configurazione MCP che citano i pacchetti @modelcontextprotocol archiviati e sostituirli con il server ufficiale del servizio, quando esiste. Approvare un solo server per ogni servizio e renderlo lo standard aziendale. Aggiungere lo stato di deprecazione su npm ai criteri con cui si approva un nuovo server.

Uber, secondo InfoQ, gestisce oltre 800 server MCP con un gateway unico, dove ogni strumento nuovo resta spento finché il team responsabile non lo abilita. Una PMI non ha bisogno di un gateway, ma il principio vale lo stesso. Decide l’azienda quali server si usano, non la memoria del modello.

Il mio punto di vista

Lo studio va letto per quello che è. Glow vende una piattaforma che fa proprio questo controllo, e le percentuali riguardano solo le sessioni in cui un server deprecato è stato installato o proposto, non tutte. Il meccanismo però è reale e verificabile. Il repository dei server archiviati esiste e gli avvisi di fine manutenzione sono scritti nero su bianco.

Per me il messaggio è questo. Un agente che installa software sceglie i fornitori tecnici al posto tuo, con informazioni vecchie. Chiedergli di controllare prima non basta, perché nello studio un agente ha letto l’avviso di deprecazione e ha installato il pacchetto lo stesso. Serve una lista approvata, scritta da una persona. Va mantenuta, certo, ma è una pagina con una riga per servizio.

La settimana scorsa ho scritto degli aggiornamenti di sicurezza dei server MCP di riferimento ancora mantenuti. Qui è il contrario, e per questi server una versione corretta non arriverà mai.

Da dove partire

Il mio consiglio è fare oggi un giro sui computer di chi usa assistenti AI, aprire i file di configurazione MCP e annotare quali server compaiono e chi li mantiene. Bastano pochi minuti a persona.

Se il tuo team usa già agenti AI ma nessuno ha deciso regole su quali strumenti possono installare, possiamo lavorarci insieme. Scrivimi per un percorso di formazione su misura e costruiamo con le persone del team una lista di server approvati e un metodo per tenerla aggiornata.

Fonti

• Glow Labs, MCPhantom: AI Coding Agents Are Installing Vulnerable Deprecated MCP Servers From Training Data (2 novembre 2026)
• Help Net Security, AI coding agents are installing MCP servers that will never be patched (3 novembre 2026)
• GitHub, modelcontextprotocol/servers-archived
• InfoQ, Uber Builds MCP Gateway to Govern Access to 800+ Servers (2 novembre 2026)