Un pacchetto chiamato refbase-mcp, denominato per rientrare nella convenzione del Model Context Protocol che oggi usa il tooling per agenti, è stato pubblicato su npm contenendo malware, ha registrato 298 download ed è stato rimosso e sostituito con un segnaposto di sicurezza circa un'ora e mezza dopo.

La cronologia, secondo il registro stesso

La versione 1.0.0 è stata pubblicata alle 20:23:38 UTC del 31 luglio. Alle 21:54:59 UTC è stata sostituita dalla versione 0.0.1-security, il segnaposto di sicurezza da 428 byte di npm. Si tratta di una finestra di esposizione di 92 minuti. L'avviso è seguito alle 22:00:13 UTC. Tutti e tre i timestamp provengono dalle API del registro e dell'avviso, non da un resoconto esterno.

Che cosa faceva il nome

Il suffisso -mcp è l'esca. Le toolchain per agenti installano i server MCP con la stessa fiducia che estendono a qualsiasi altra dipendenza, e la convenzione è ormai abbastanza consolidata da meritare di essere impersonata. Nulla agli atti stabilisce che il pacchetto funzionasse davvero come server MCP — il suffisso è una scelta di nome, non una capacità.

La frase spaventosa è un modello

L'avviso dice che qualsiasi macchina su cui il pacchetto sia installato "should be considered fully compromised" e che tutti i segreti e le chiavi debbano essere ruotati. È il boilerplate generico di npm per il malware, applicato a ogni rimozione di questa categoria. Non è stata pubblicata alcuna analisi del payload, quindi ciò che il pacchetto abbia effettivamente fatto non risulta agli atti — e presentare il boilerplate come una conclusione su questo pacchetto sarebbe scorretto.

298 download non significano 298 vittime

La curva — 254 il 31 luglio, 44 il 1 agosto, zero in tutti i giorni precedenti — è quella di un pacchetto appena pubblicato quando mirror del registro, scanner di sicurezza e cache CI lo intercettano. Trattare il conteggio come un numero di infezioni lo sopravvaluta in modo sostanziale. La lettura più precisa è quella utile: il ciclo di rimozione si è chiuso in 92 minuti, e 92 minuti sono abbastanza per raggiungere un sistema di build.