El malware llegó disfrazado de configuración MCP: la cadena del agente entra en la mira
El ataque de TeamPCP a GitHub muestra que el toolchain del agente (extensiones, conectores MCP y credenciales) ya es un objetivo de primer orden.
GitHub confirmó el robo de unos 3,800 repositorios internos tras una extensión de VS Code troyanizada que estuvo viva 18 minutos. El detalle relevante para quien construye agentes: el código malicioso se ejecutó disfrazado de una tarea rutinaria de configuración MCP y buscó archivos de configuración de Claude Code.
El **20 de mayo de 2026**, GitHub confirmó que el grupo de amenazas TeamPCP, rastreado también como UNC6780, exfiltró cerca de 3,800 repositorios internos. El vector fue una versión troyanizada de la extensión **Nx Console para VS Code**, una pieza con 2.2 millones de instalaciones y estatus de editor verificado. Estuvo activa en el Visual Studio Marketplace apenas 18 minutos. Ese intervalo bastó.
El dato que ordena la lectura para cualquiera que despliega agentes está en el método. Al iniciarse, la extensión ejecutó un comando de shell **disfrazado de una tarea rutinaria de configuración de MCP**. Ese comando descargó un ladrón de credenciales que buscó, entre otros objetivos, los archivos de configuración de **Claude Code** (`~/.claude/settings.json`), bóvedas de 1Password, tokens de npm y GitHub, y llaves de AWS. La misma campaña alcanzó a OpenAI, Mistral AI, la Comisión Europea y más de 170 paquetes de npm.
## El toolchain del agente es ahora un objetivo
Un agente vale por lo que puede hacer, y lo que puede hacer depende de su capa de herramientas: extensiones, servidores MCP, conectores y las credenciales que los activan. Esa capa concentra acceso y permisos, y por eso se volvió un blanco de primer orden. Un agente con conectores amplios y llaves almacenadas ofrece a un atacante un punto único con alcance a múltiples sistemas.
## Qué conviene hacer
Para los equipos que construyen o despliegan agentes, el episodio fija prioridades concretas:
- Auditar cada extensión y cada servidor MCP antes de conectarlo, con revisión de la fuente y del editor.
- Asignar a cada conector el mínimo alcance posible y tokens de vida corta.
- Aislar las credenciales del agente del entorno de desarrollo general.
- Mantener almacenamiento de credenciales respaldado por hardware donde sea viable.
- Contar con un protocolo de rotación de credenciales listo para ejecutarse en minutos.
La señal de fondo: la superficie de ataque de la IA agéntica incluye el andamiaje que la rodea. Proteger al agente empieza por proteger las herramientas que lo hacen útil.
Fuente: [The Hacker News, 20 may 2026](https://thehackernews.com/2026/05/github-internal-repositories-breached.html)