近年来，人工智能技术的迅猛发展推动了各类智能助理和自动化代理的广泛应用，而Anthropic作为人工智能领域的重要玩家，推出了SQLite Model Context Protocol（MCP）服务器，旨在让AI系统能够通过自然语言与SQLite数据库进行交互，极大地方便了数据查询、报告生成等操作。然而，令人担忧的是，一位安全研究员近日公开指称，Anthropic这款SQLite MCP服务器中存在严重的SQL注入漏洞，该漏洞可被恶意利用以劫持支持机器人，进而窃取用户的敏感信息。尽管安全专家向Anthropic披露了这一隐患，后者却表示不会修复该漏洞，其背后的原因及其对行业安全的影响引发热议。SQLite MCP服务器是Anthropic为实现其“模型上下文协议”推出的示范性开源服务器。MCP协议的目标是让AI代理和大型语言模型能够安全高效地访问外部数据源，实现数据的交互与处理。该协议的灵活性使得众多开发者可以基于其构建不同功能的服务器，因而该协议及其实现已经在GitHub上收获了超过五千次的分叉复制。
然而，随着漏洞的曝光，围绕该服务器的安全隐患也日益凸显。安全研究专家Sean Park指出，Anthropic的SQLite MCP服务器在处理用户输入时，没有对提交的SQL语句采取有效的过滤和校验措施，直接将未经消毒的用户数据拼接进数据库查询语句中。这种设计缺陷导致了SQL注入攻击的可能，一旦攻击者注入恶意SQL代码，便能够绕过安全防护，执行未授权的数据读取和操作。更为严重的是，该漏洞不仅是传统的SQL注入，更被用于触发AI的提示注入攻击。攻击者通过构造特制的输入内容，能够诱使AI支持代理执行恶意指令，比如发送客户的敏感数据到攻击者的邮箱地址。该机制利用了当前AI代理在任务流中对已存储“待处理”工单的信任逻辑，一旦工单被标记为“开放”，AI系统将其视为合法指令，忽略潜在的恶意性质，导致安全防线失效。
此次漏洞披露后，Trend Micro的安全团队于2025年6月11日向Anthropic提交了详细的漏洞报告，但Anthropic回应称该项目的GitHub仓库已于5月29日归档，认为漏洞“超出维护范围”，因此不会进行修补。这一决定立即引发了外界的广泛质疑。值得注意的是，该仓库被大量开发者分叉，众多衍生版本依赖这套有漏洞的代码。一旦用户和企业继续使用未修复的版本，或启用了依赖库的分支，潜在风险将持续存在且难以消除。安全专家警告说，这将构成持久的供应链安全隐患，可能影响成千上万个AI代理系统的安全性。除了技术层面的风险，Anthropic的官方声明试图将责任归咎于使用习惯，强调该协议设计本就旨在辅以人工审核与人类决策，尤其是在运行动态生成SQL语句的工具时应有人类干预以防范滥用。
但这一解释在业界看来显然难以完全服众，尤其是考虑到多数企业和开发者往往寻求自动化与效率，难以保证每次操作至少有人工审核环节。面对复杂的攻击手法和潜在后果，诸如物流配送、客户关系管理等关键行业的安全专家纷纷表达了忧虑。具体而言，如果攻击者劫持了物流公司的AI支持代理，就可能干扰发货流程、篡改库存数据、延误货物运输，甚至窃取商业机密。此类间接攻击将导致链式反应，引发供应链级别的安全事件，影响范围极广。有鉴于此，业内安全专家建议企业务必对自身AI资产进行全面的风险梳理，清楚掌握其系统中包含的技术及组件构成，对关键的软件服务层如MCP服务器保持高度警惕。积极采取措施强化安全防护，譬如对输入进行严格验证与过滤、引入运行时监控机制、设立行为异常报警系统，避免出现疑似攻击时无感知或无响应的情况。
同时，应对AI代理的操作行为实施类似人类员工的管理策略，建立规范的审查标准和核查流程，保证异常行为能够被及时识别，并由人工介入处理。尽管Anthropic放弃维护这一存在已知重大安全漏洞的服务器，但业界普遍认为，软件供应链中的责任共担原则不容忽视。开源项目的归档并不意味着安全风险自动消失，反而提醒开发者与用户要更加慎重地评估代码质量，主动对分叉代码进行修复与强化，并推动社区或厂商回复关注，共同维护生态安全。总结而言，Anthropic SQLite MCP服务器内存在的SQL注入漏洞暴露了AI时代基础服务层的安全短板。漏洞不仅使得AI系统面临数据泄露和劫持风险，更揭示了当前协议设计及运营机制中对安全防御不够完善的现状。随着更多企业加快AI技术落地，如何确保相关软件组件的安全稳定，减少潜在攻击面，建立完善的风险响应体系，将成为产业界亟需直面的核心课题。
未来，AI生态的健康发展不仅依赖技术创新，也依赖安全能力的同步提升，惟有多方携手、持续投入安全建设，才能构建值得信赖的智能服务环境。
