Server MCP Palsu Menghabiskan Tiga Bulan Membangun Kepercayaan. Tandanya Sudah Ada

Versi bahasa Inggris: A fake MCP server spent three months earning trust. The tells were there

Pada bulan Februari, peneliti di Straiker STAR Labs mendokumentasikan sebuah operasi supply chain yang seharusnya mengubah cara kamu memeriksa server MCP. Operasi malware yang dikenal sebagai SmartLoader menghabiskan tiga bulan membangun ekosistem developer palsu: lima akun GitHub dengan persona buatan AI, repo yang saling di-fork untuk meniru komunitas yang aktif, semuanya membungkus server MCP Oura Ring yang sudah disusupi trojan. Lalu server itu didaftarkan ke registry MCP market yang sah.

Tiga bulan kesabaran. Riwayat commit palsu, orang palsu, social proof palsu. Saran lama, cek profil GitHub, cek jumlah star, mati tepat di sini. Setiap sinyal di halaman itu sengaja dipalsukan.

Kenapa cara ini berhasil pada developer

Kita cepat mencocokkan pola. Komunitas aktif, README masuk akal, commit terus mengalir: install. Seluruh ritual pemeriksaan itu makan waktu sembilan puluh detik, dan para predator hafal ritualnya. Ekosistem palsu itu dibangun untuk lolos ritual, bukan untuk bertahan dari pemeriksaan yang serius.

Apa yang masih sulit dipalsukan

Memalsukan aktivitas itu murah. Riwayat yang konsisten, spesifik, dan membosankan itu mahal. Tanda-tanda ini bertahan dari operasi tersebut, dan akan bertahan dari operasi berikutnya:

1. Riwayat issue dengan diskusi bolak-balik sungguhan. Proyek nyata punya pertanyaan konyol, maintainer yang menanyakan versi, dan thread yang berakhir dengan “closing, fixed in X”. Repo hasil farming punya tab issue yang sepi atau aktivitas star sambil lalu.
2. Perusahaan yang eksis di luar GitHub. Domain, situs dokumentasi, orang-orang yang bisa kamu temukan pernah salah soal hal lain di depan publik. Persona yang hanya ada di dalam satu grafik repo adalah sebuah temuan.
3. Ritme rilis dibanding kebisingan commit. Proyek nyata punya changelog yang membosankan. Proyek hasil farming punya ledakan aktivitas, lompatan versi, atau commit yang menjelaskan hal-hal yang tidak bisa kamu verifikasi.
4. Tumpang tindih maintainer. Kalau lima akun yang sama muncul di beberapa proyek yang “berbeda” di niche yang sama, kamu sedang melihat perusahaan hantu.
5. Asal-usul angka install. Angka besar tanpa ekosistem yang sesuai, tanpa blog post, tanpa issue yang menyebut proyek itu di tempat lain, hanyalah dekorasi.

Checklist pemeriksaan yang sekarang saya jalankan

Sebelum server MCP mana pun masuk ke config yang saya pedulikan:

• Siapa di baliknya, bisa diverifikasi di luar repo
• Kualitas issue di atas jumlah issue
• Changelog yang realistis
• Permission yang diminta dibanding tujuannya. Pelacak tidur dari cincin pintar tidak butuh akses shell
• Jalankan pertama kali di container tanpa kredensial dan dengan pemantauan egress. Kalau ia menghubungi tempat yang tidak bisa dijelaskan, selesai
• Scan config untuk penanganan secret dan pola berisiko. Saya memakai scanner buatan saya sendiri untuk ini, yang setara juga bisa

Registry bukan threat model kamu. Registry akan semakin ketat, menambah antrean review, mungkin attestation. Penyerang akan beradaptasi, sama seperti mereka beradaptasi dengan app store. Keputusan install tetap ada di tangan kamu.

Ekosistem browser extension sudah pernah melewati era yang persis sama. Kita tahu bagaimana akhirnya. Developer yang menginternalisasi prinsip “listing di marketplace tidak membuktikan apa-apa” adalah mereka yang tidak muncul di laporan insiden.

Saya rutin menerbitkan tulisan seperti ini tentang keamanan MCP dan AI agent, jadi simpan halaman ini kalau tidak mau kehilangannya di feed kamu.

Sumber

• Tulisan UpGuard tentang operasi Oura Ring dan lima insiden lainnya: https://www.upguard.com/blog/mcp-security-incidents
• Catatan riset CSA tentang eksposur MCP yang sistemik: https://labs.cloudsecurityalliance.org/research/csa-research-note-mcp-security-crisis-20260504-csa-styled/

---

Kalau kamu ingin menjalankan pengecekan seperti ini pada server MCP atau direktori .claude/ sebelum meng-install-nya, saya memelihara mcpscan, scanner open-source untuk tool poisoning, permission berisiko, dan secret yang bocor. Issue dan laporan false positive sangat diterima.

Versi bahasa Inggris artikel ini awalnya terbit di DEV. Diskusinya berlangsung di sana.