Los servidores del Model Context Protocol (MCP) exponen herramientas, recursos y prompts cuyo texto llega directamente al modelo de lenguaje. Cuando un servidor no neutraliza los bytes de control, un atacante puede ocultar instrucciones en lo que parece un contenido inofensivo. Bright Security explica en detalle cómo funciona la ANSI Escape Sequence Injection (AESI) y cómo su escáner DAST la detecta de forma automática.
El artículo distingue dos variantes. La primera, AESI de fetch directo, aprovecha herramientas que recuperan una URL y devuelven su contenido al modelo: el atacante aloja una página con secuencias ANSI y directivas ocultas, el servidor la reenvía al modelo y el agente ejecuta las instrucciones invisibles. La segunda, AESI almacenada, es más persistente: el payload se graba a través de un punto de entrada (una nota, un comentario) y detona después, cuando otro flujo lo lee y lo inyecta en un campo que el modelo consume. Esta variante combina persistencia, desacople entre escritura y lectura y exposición diferida, por lo que un solo registro envenenado puede afectar a múltiples sesiones y usuarios.
El impacto incluye acciones no autorizadas del agente, evasión del control humano, manipulación de logs y auditorías, y riesgo persistente de inyección en futuras lecturas. Para detectarlo, el escáner aplica cinco principios: inspeccionar bytes en crudo, evaluar solo los campos que el modelo ingiere, usar marcadores únicos por payload, exigir tres señales simultáneas (byte ANSI, frase instructiva y marcador) y descender en valores JSON anidados. Con ese diseño, la verificación es binaria y suficientemente robusta como para automatizarse en pipelines DAST de tipo black-box.