O MCP SDK Parece Seguro. Sua Cadeia de Suprimentos Tem 11 Pacotes Críticos de Manutenção Única.

O Protocolo de Contexto do Modelo está se tornando a tubulação padrão para ferramentas de IA. Claude, Cursor, Windsurf e uma lista crescente de assistentes de IA se conectam aos servidores MCP para navegar na web, ler arquivos, consultar bancos de dados e executar código. Se você está construindo um produto de IA em 2026, provavelmente está usando @modelcontextprotocol/sdk.

Veja como o pacote em si se apresenta quando avaliado pelo compromisso comportamental:

@modelcontextprotocol/sdk — pontuação: 75/100 | 6 mantenedores | 31M downloads/semana | 1.4 anos

Seis mantenedores. Respeitável. Pontuação de 75. Sem bandeira CRÍTICA. Você pode parar por aqui.

Não pare por aqui.

As Dependências Diretas

Quando mapeei toda a cadeia de suprimentos até a profundidade 2, a imagem muda rapidamente:

curl -X POST https://poc-backend.amdal-dev.workers.dev/api/graph/npm \
  -H "Content-Type: application/json" \
  -d '{"package": "@modelcontextprotocol/sdk", "depth": 2}'

21 nós. 11 CRÍTICOS. 4 WARN.

Aqui estão os pacotes críticos de mantenedor único que seu servidor MCP herda:

O Que Deve Preocupar Você

A maioria destes são utilitários de construção e auxiliares de transporte. Um não é.

jose — 66 milhões de downloads por semana, um mantenedor — é a biblioteca de implementação JWT/JOSE. Ela lida com Tokens Web JSON, Criptografia Web JSON e Chaves Web JSON.

Por que isso é importante especificamente para o MCP?

A Especificação de Autenticação do MCP — atualizada em 2026 para exigir OAuth 2.1 — requer que cada servidor MCP que expõe um endpoint remoto implemente a validação de tokens. jose é a biblioteca que a maioria dos servidores MCP usa para fazer isso. Também está no caminho crítico para fluxos PKCE, que a especificação exige especificamente.

pkce-challenge — também 1 mantenedor, 25M downloads/sem — gera os pares de verificador/desafio PKCE usados em fluxos OAuth.

Se qualquer um dos pacotes fosse comprometido, um atacante não precisaria roubar credenciais. Eles poderiam modificar a lógica de validação de tokens: aceitar tokens inválidos, estender a expiração ou passar silenciosamente reivindicações forjadas. Os "1.184 skills MCP maliciosos" documentados na pesquisa OpenClaw são uma superfície de ataque. A biblioteca de autenticação em que seu servidor MCP confia para validar a identidade é outra.

Isso não é hipotético. O ataque LiteLLM (março de 2026) e o incidente ua-parser-js (outubro de 2021, CVE-2021-41265/CVE-2021-41266) exploraram pacotes de mantenedor único com contagens de download massivas — o perfil exato que vemos aqui.

cross-spawn: 183M Downloads, 1 Mantenedor, Sem Lançamento em 12+ Meses

cross-spawn é o segundo mais alarmante. Ele lida com a criação de processos multiplataforma e é utilizado pelo transporte stdio do MCP (a maneira padrão de executar um servidor MCP localmente). 183 milhões de downloads por semana. Um mantenedor. Sem lançamento em mais de um ano.

Este é o perfil exato de event-stream antes do comprometimento de 2018: pacote utilitário de alto volume, mantenedor único, obsoleto. Um pacote de alto volume não mantido com um único proprietário é um alvo de aquisição para atores maliciosos.

O Que a "Pontuação 75" Realmente Significa

O pacote @modelcontextprotocol/sdk em si merece sua pontuação 75. Seis mantenedores, desenvolvimento ativo (1.4 anos, forte cadência de lançamentos, tendência crescente). A equipe da Anthropic está mantendo-o bem.

O problema é que a pontuação do pacote apenas informa sobre aquele pacote. A pontuação da cadeia de suprimentos informa o que você realmente entrega.

Um pacote é um nó em um gráfico, não um artefato isolado. Sua postura de segurança é a postura de segurança mínima de cada pacote em sua árvore de dependências, ponderada pelo potencial de dano se comprometido.

jose — a biblioteca JWT da qual sua autenticação depende — é mantida por uma pessoa. Essa pessoa pode ser alvo de engenharia social, pode se esgotar, pode vender o pacote, pode ser alvo da mesma forma que o mantenedor do ua-parser-js foi alvo em 2021.

Tente Isso em Seu Próprio Stack

Se você está construindo com o MCP, pode auditar toda a sua árvore de dependências na interface web em getcommit.dev/audit — cole seu package.json, coloque-o na página ou insira diretamente uma URL de repositório do GitHub.

Ou via API:

# Avaliar pacotes diretamente
curl -X POST https://poc-backend.amdal-dev.workers.dev/api/audit \
  -H "Content-Type: application/json" \
  -d '{"packages": ["@modelcontextprotocol/sdk", "fastmcp", "jose"]}'

# Mapear toda a cadeia de suprimentos
curl -X POST https://poc-backend.amdal-dev.workers.dev/api/graph/npm \
  -H "Content-Type: application/json" \
  -d '{"package": "@modelcontextprotocol/sdk", "depth": 2}'

Ou adicione ao CI (publica os resultados como um comentário de PR):

- uses: piiiico/proof-of-commitment@main
  with:
    fail-on-critical: false
    comment-on-pr: true

O Que Fazer

Para os pacotes sinalizados aqui, o risco é probabilístico, não certo. A maioria dos pacotes de mantenedor único com muitos downloads está bem na maior parte do tempo. Mas:

1. jose e pkce-challenge: Estes estão no seu caminho de autenticação. Saiba quem os mantém. Fique atento a lançamentos inesperados ou mudanças de propriedade.
2. cross-spawn: Considere se você pode fixar a versão e monitorar por mudanças.