Mittwald 给 AI 助手开的接口，56 个项目被入侵

给 AI 助手开的托管接口，这一次成了入侵入口：德国主机商 Mittwald 的 MCP 服务器被攻破后，一枚被读走的会话令牌，就等于一位客户在控制台里的全部权限。MCP 即 Model Context Protocol，是让 AI 助手连接外部系统的开放标准。

据 Mittwald 创始人兼总经理 Robert Meyer 11 月 7 日的博客，攻击者 10 月 27 日利用接口漏洞读走接入用户的令牌，56 个客户项目被入侵，公司 11 月 4 日才发现。

Meyer 把它算作 AI 攻击。沈规的判断是：这笔账要记在 Mittwald 自己的接口和监测上，AI 只是一个还没有证据撑住的说法。

10 月 27 日：新账号注册五分钟就得手

Meyer 的博客给出了公司自己的时间线：

• 10 月 21 日晚，全行业正忙着修补 PHP2Shell 漏洞，攻击者第一次试探 MCP 服务器的漏洞；
• 10 月 23 日起，他以普通用户身份在平台上活动，注册测试账号、使用扩展、做简单的注入尝试；
• 10 月 27 日 14:58 注册一个新账号，15:03 利用漏洞得手。

注册后五分钟就能打穿，说明这处漏洞对一个刚注册的普通账号就是敞开的，这是分析推断，依据是博客写明的这两个时刻。

从首次试探到得手前后六天，测试账号和注入尝试都记在 Mittwald 自己的日志里。公司在 FAQ 里解释为什么一周多才发现：攻击者把准备动作伪装成正常用户行为。可注入尝试本身就不是正常用户行为。

11 月 4 日到 7 日：没接接口的客户也被锁在门外

发现之后的四天，Mittwald 按下面的顺序收口：

• 11 月 4 日上午发现异常，11:11 封掉攻击者第一个账号，随后认定 MCP 服务器是入口并将其下线；
• 11 月 5 日关闭新账号注册、mStudio 登录、SSH、扩展和下单，状态页逐条记录了这些停用；
• 11 月 6 日完成 56 个项目与 MCP 服务器的取证，重复扫描没有找到更多被入侵项目；
• 11 月 7 日恢复 mStudio 与 SSH，预防性封停的网站仍未解封。

封锁的代价落在所有客户身上。柏林的网站代理商 TBA Berlin 从没用过这个接口，它在 11 月 8 日的说明里写，后台和 SSH 被封了几天，管理工作只能停下或少做。

TBA 也替 Mittwald 说了话，称它「blocked more rather than less」，宁可多封。这一点我们接受：事后封得狠、通报勤，是 Mittwald 做对的部分。可它补的是八天发现期留下的窟窿。

「AI 攻击」的证据只有速度一条

Meyer 的依据是日志里步骤之间有时只隔几秒，人工操作要慢得多。

The Record 11 月 9 日报道指出，Mittwald 没有给出其他 AI 参与的证据，也没有回应如何区分 AI 工具和普通自动化脚本。脚本一样能做到秒级。

漏洞出在 Mittwald 自己写的代码，还是开源的 MCP 软件库，The Record 写明尚不清楚。FAQ 只说漏洞「lag in unserem MCP-Server」，也就是在它自家的 MCP 服务器上。Mittwald 承诺本周公布详细经过，这一点应当在里面写清。

有人会说，AI 让攻击变快，主机商来不及反应情有可原。速度解释不了得手之前的那六天：那时攻击者只是在普通账号里一遍遍试探。

一枚令牌就是客户的全部权限

webhosting.today 依据 FAQ 整理：从 MCP 服务器上被读走的是会话令牌，不是密码；每枚令牌都能以主人的权限进入 mStudio，碰到他能碰到的所有项目。

所以受影响客户要改密码、开两步验证、清查 API 密钥和 SSH 用户，还要更换项目里存着的数据库、邮件和外部接口凭据。

一个为 AI 助手开的接口，手里握的是不打折的全权令牌。这是分析推断，依据是 FAQ 写明令牌「mit deinen Rechten」，即带着用户自己的权限。

把这次入侵记成「AI 攻击」，等于把 Mittwald 自己的三处失职从账本上抹掉。新账号五分钟打穿接口，一枚令牌带走客户全部权限，攻击者在自家日志里试探六天无人拦截，这三笔都该由 Mittwald 签字认领，攻击者用了什么工具，一笔也分不走。