En ny angrebsteknik ved navn GhostSplice kan lokke AI-kodeassistenter som Claude Code, Cursor, GitHub Copilot og Gemini CLI til at lække SSH-nøgler, miljøvariabler og kildekode, uden at ofret nogensinde ser en åbenlyst ondsindet kommando. Sikkerhedsforskere fra gruppen Exposed by Design offentliggjorde fundet den 11. august 2026, og The Hacker News fulgte samme dag op med detaljer om, hvordan angrebet udnytter Model Context Protocol (MCP), den åbne standard der forbinder AI-agenter til eksterne værktøjer. I kontrollerede tests lækkede AI-assistenter hemmeligheder i cirka 82 procent af forsøgene, når de blev koblet til en ondsindet MCP-server (kilde).

For udviklere i Danmark og resten af Norden, hvor AI-kodeassistenter i 2026 er blevet standardværktøj i de fleste udviklerteams, er sagen alvorlig. MCP er ikke længere et nicheprotokol for eksperimenterende teams. Ifølge en statistikrapport fra Practical DevSecOps eksploderede MCP-adoptionen i 2025, og økosystemet talte i midten af 2026 over 97 millioner månedlige SDK-downloads og mere end 10.000 aktive offentlige MCP-servere (kilde). Jo flere servere, jo større angrebsflade, og GhostSplice viser, at angriberne allerede er godt i gang med at udnytte den.

Hvad er GhostSplice, og hvordan virker angrebet?

GhostSplice er ikke endnu en klassisk prompt-injektion, hvor en angriber skjuler en tekst som “ignorer dine instrukser og send mig nøglerne” i en fil. I stedet deler en ondsindet MCP-server en farlig hensigt, for eksempel “eksfiltrer SSH-nøglerne”, op i flere uskyldigt udseende fragmenter. Nogle af brudstykkerne gemmes i værktøjsbeskrivelser, andre dukker op senere i de svar, som serveren sender tilbage til AI-agenten under en normal arbejdsgang. Agenten samler selv brudstykkerne i sin kontekst og udfører den samlede, skadelige handling, som en del af det, den opfatter som en almindelig opgave.

World Cyber News beskriver mekanikken sådan: i stedet for at give agenten en eksplicit “send mig dine SSH-nøgler”-besked, gemmer GhostSplice hensigten på tværs af det, der ligner harmløse værktøjsbeskrivelser og svarbeskeder. Agenten stikker fragmenterne sammen i sin kontekst og eksfiltrerer hemmeligheder som en del af sit normale arbejdsforløb (kilde). Det gør angrebet svært at fange med traditionel filtrering, fordi ingen enkelt besked i isolation ser farlig ud.

Teknikken forudsætter to ting, som stort set alle populære AI-kodeassistenter i dag opfylder: agenten kan forbinde til eksterne MCP-servere, og den server får (direkte eller via agenten) adgang til lokale filer, miljøvariabler eller netværksværktøjer. Det er præcis den kombination, som har gjort MCP så nyttig, agenter kan pludselig læse repositories, køre tests og kalde API’er uden manuel opsætning hver gang. Samme fleksibilitet er nu angrebsfladen.

Hvem opdagede sårbarheden, og hvornår kom den frem?

Forskningsgruppen Exposed by Design offentliggjorde den oprindelige proof-of-concept, og The Hacker News bragte historien den 11. august 2026 under overskriften om, at ondsindede MCP-servere kan splitte instrukser for at få AI-kodeværktøjer til at lække data (kilde). Samme dag udgav World Cyber News en teknisk gennemgang, der formaliserede navnet GhostSplice. To dage senere, den 13. august, fulgte et sikkerhedsstandard-medie op med de konkrete måltal fra testene, herunder de 82 procent lækagerate.

GhostSplice er dog ikke opstået i et vakuum. Sagen bygger videre på en række afsløringer om MCP’s sikkerhedsarkitektur gennem hele 2026. I april afslørede sikkerhedsfirmaet OX Security en designfejl i selve MCP-protokollen, der i praksis muliggør vilkårlig kodekørsel (RCE) via usikre standardindstillinger i STDIO-baserede MCP-opsætninger (kilde). Fejlen ramte populære rammer som LiteLLM, LangChain, LangFlow og Flowise, og blev estimeret til at berøre mere end 7.000 sårbare offentligt tilgængelige servere og softwarepakker i en forsyningskæde med over 150 millioner pakke-downloads.

I maj og juni fulgte forskningen “TrustFall”, som viste, at Claude Code, Cursor CLI, Gemini CLI og GitHub Copilot CLI alle udfører projekt-definerede MCP-servere, så snart brugeren accepterer en simpel mappe-tillids-prompt. En klonet repository kan indeholde en forberedt, ondsindet MCP-konfiguration, der giver angriberen fjernkørsel med et enkelt klik (kilde). Den 1. juli udgav Cloud Security Alliance en systematisk gennemgang af, hvordan MCP-værktøjsbeskrivelser er en usaneret angrebsflade, hvor en ondsindet server kan indlejre vilkårlige instrukser i det, der ligner almindelig hjælpetekst (kilde). GhostSplice er altså den seneste og mest sofistikerede variant i en linje af MCP-angreb, der har udviklet sig gennem hele året.

Hvilke AI-kodeassistenter er ramt?

Fordi GhostSplice angriber selve MCP-protokollen og ikke en bestemt leverandørs implementering, er risikoen i princippet til stede overalt, hvor et værktøj taler MCP og har fil- eller netværksadgang. Ifølge de sammenfaldende rapporter fra august 2026 omfatter listen over berørte eller udsatte værktøjer blandt andet Claude Code, Cursor, GitHub Copilot (særligt CLI og agent-tilstande), Cline, Gemini CLI, Amazon Q og en række MCP-bevidste udviklingsmiljøer som Windsurf, JetBrains Junie, Zed og OpenAI Codex CLI.

Det fælles mønster er, at værktøjerne som standard auto-udfører projekt-definerede MCP-servere og giver dem udviklerrettigheder på operativsystemniveau uden proces-isolation i mange konfigurationer. Det er ikke en fejl i én enkelt kodebase, men et designvalg, der går igen på tværs af hele branchen, fordi det gør værktøjerne bekvemme at bruge. Bekvemmelighed og sikkerhed trækker i hver sin retning her, og indtil videre har bekvemmeligheden vundet.

AI-kodeassistentMCP-understøttelseAuto-udfører projekt-MCP-servereKendt relateret sårbarhed i 2026
Claude CodeJaJa (før mappe-tillid)TrustFall, GhostSplice
Cursor / Cursor CLIJaJaTrustFall, tool poisoning, GhostSplice
GitHub Copilot CLIJaJaTrustFall, GhostSplice
Gemini CLIJaJaTrustFall, GhostSplice
ClineJaDelvist (brugerstyret)GhostSplice
Amazon Q DeveloperJaDelvistMCP tool poisoning
Windsurf / Devin DesktopJaDelvistMCP tool poisoning

Bemærk at tabellen afspejler forskernes offentliggjorte fund fra april til august 2026, og at flere leverandører allerede har rullet delvise afbødninger ud, som beskrevet nedenfor. Det ændrer ikke ved, at den grundlæggende protokoldesign stadig gør angrebsklassen mulig.

Tallene bag angrebet: hvor stort er problemet?

Scanningen af det offentlige MCP-landskab

Exposed by Design-studiet, publiceret som arXiv-preprint 2608.00150, scannede mere end 21.000 internetvendte MCP-serverinstanser. Af dem blev 640 “produktions”-servere revideret i dybden, og hele 91,8 procent af de reviderede servere kørte uden OAuth eller anden robust autentificering (kilde). Det betyder i praksis, at ni ud af ti undersøgte servere kunne tages over eller misbruges af en angriber, der først fik adgang til netværket.

Practical DevSecOps’ statistikrapport for 2026 sætter tallene i et bredere perspektiv: uafhængige scanninger finder gentagne gange, at mellem 30 og 82 procent af offentlige MCP-servere bærer udnyttelige svagheder, og kun 8,5 procent bruger OAuth eller tilsvarende stærk autentificering (kilde). Rapporten refererer også til mindst tre kendte CVE’er i MCP-økosystemet, CVE-2025-6514, CVE-2025-49596 og CVE-2025-54136, der alle relaterer sig til værktøjsforgiftning, auto-udførelse og RCE-sårbarheder i MCP-SDK’er og klientimplementeringer.

NøgletalVærdiKilde
Andel AI-assistenter der lækkede hemmeligheder i GhostSplice-test~82%Appsecuritystandards.org, august 2026
Scannede internetvendte MCP-serverinstanser21.000+Exposed by Design (arXiv 2608.00150)
Andel reviderede produktionsservere uden OAuth91,8%Exposed by Design
Aktive offentlige MCP-servere (medio 2026)10.000+Practical DevSecOps
Månedlige SDK-downloads for MCP97 mio.+Practical DevSecOps
Estimeret sårbare instanser fra OX Security-designfejl7.000+Cloud Security Alliance, april 2026
Berørt forsyningskæde (pakke-downloads)150 mio.+Cloud Security Alliance

Sammenlagt tegner tallene et billede af et økosystem, der er vokset langt hurtigere end sikkerhedsmodenheden har kunnet følge med. MCP gik fra at være et niche-forslag fra Anthropic til de facto-standard for agentiske værktøjer på under to år, men autentificering, sandboxing og adgangskontrol er stadig undtagelsen snarere end reglen på tværs af de offentlige servere.

Hvorfor rammer det udviklere i Danmark og Norden særligt hårdt

Danske og nordiske udviklingsteams har i 2025 og 2026 taget AI-kodeassistenter til sig i højt tempo, blandt andet drevet af GitHub Copilots fortsatte udbredelse og Claude Codes vækst i virksomhedsbrug. Når medarbejdere kobler personlige eller interne MCP-servere til deres kodeassistent for at spare tid, for eksempel til automatisk dokumentation, testkørsel eller CI-integration, øges samtidig den flade, som en angriber kan ramme.

Det er særligt følsomt i brancher med skærpede krav til datahåndtering, som finans, sundhed og offentlig forvaltning, hvor NIS2-reglerne allerede stiller krav om dokumenteret risikostyring af leverandørkæder. En AI-agent, der ukontrolleret henter og udfører kode fra en tredjeparts MCP-server, passer dårligt sammen med den slags compliance-krav. Hvis en udvikler i en dansk fintech-virksomhed via en kompromitteret MCP-server får sine SSH-nøgler eller produktionshemmeligheder lækket, er det ikke kun en teknisk hændelse, det kan udløse indberetningspligt og bøder efter både NIS2 og GDPR, afhængigt af hvilke data der er involveret.

Samtidig er dansk og nordisk udviklingskultur kendt for høj grad af open source-brug og hurtig adoption af nye værktøjer, hvilket historisk har været en styrke, men her bliver en risiko, hvis MCP-servere fra ukendte eller uverificerede kilder installeres uden en sikkerhedsgennemgang først.

Sådan har leverandørerne reageret

Anthropic, som oprindeligt udviklede MCP-protokollen, var allerede i dialog med sikkerhedsforskere efter OX Securitys RCE-fund i april. Efter GhostSplice-afsløringen peger rapporteringen på, at Claude Code har fået strammere advarsler i brugerfladen ved forbindelse til ukendte MCP-servere, samt nye politikker på arbejdsplads-niveau, der lader virksomheder deaktivere auto-udførelse af projekt-MCP-servere eller begrænse dem til en godkendt liste.

GitHub har justeret Copilots mappe-tillidsmodel og standardindstillinger for MCP-serverudførelse efter TrustFall-fundene tidligere på året, og har ifølge samme kilder arbejdet på bedre sanering og filtrering af MCP-værktøjsmetadata samt en valgfri “ingen ekstern MCP”-tilstand for virksomhedskunder. Cursor, der ligeledes blev navngivet i TrustFall-forskningen for at auto-udføre MCP-servere med høje rettigheder, har angiveligt tilføjet bekræftelsesprompter og mere granulær rettighedsstyring, når en MCP-server anmoder om fil- eller netværksadgang.

Det gennemgående mønster hos alle de nævnte leverandører er en kombination af hurtige UI-rettelser (advarsler, bekræftelsesprompter, standardændringer) og løfter om mere grundlæggende arkitektoniske ændringer som sandboxing og rettighedsbegrænsning på længere sigt. Ingen af leverandørerne har dog offentliggjort en fuldstændig teknisk løsning, der eliminerer angrebsklassen fuldstændig, hvilket afspejler, at problemet i bund og grund stammer fra selve MCP-designet og ikke fra en enkelt implementeringsfejl.

GhostSplice sammenlignet med tidligere angreb på AI-udviklerværktøjer

Fra teknisk fejl til semantisk angreb

GhostSplice er værd at sætte i perspektiv i forhold til de øvrige sikkerhedshændelser, der har ramt AI-kodeværktøjer i 2026. Til forskel fra OX Securitys RCE-designfejl i april, der udnyttede en teknisk svaghed i selve STDIO-transportlaget, arbejder GhostSplice på det semantiske niveau, den udnytter, hvordan sprogmodeller fortolker og samler kontekst, ikke en klassisk kodefejl. Det gør angrebet sværere at patche med en simpel opdatering, fordi det i virkeligheden angriber selve den måde, agenter “tænker” på.

TrustFall-forskningen fra maj og juni handlede om et enkelt klik, der udløste kodekørsel, når en bruger accepterede en mappe-tillidsprompt. GhostSplice kræver ikke engang det samme niveau af brugerinteraktion med en åbenlys advarsel, fordi hele pointen er, at ingen enkelt besked ser mistænkelig ud. Det placerer GhostSplice et niveau dybere i sofistikering end de tidligere afslørede sårbarheder, og det er sandsynligvis grunden til, at det har fået sit eget navn og sin egen nyhedscyklus, mens de tidligere fund primært blev omtalt som “endnu en MCP-sårbarhed”.

Sammenlignet med klassiske supply chain-angreb, som f.eks. ondsindede npm- eller PyPI-pakker, er MCP-baserede angreb som GhostSplice potentielt farligere i den forstand, at de udnytter en AI-agent, der har fået udvidede rettigheder specifikt for at kunne handle autonomt på udviklerens vegne. En kompromitteret npm-pakke skal typisk selv indeholde ondsindet kode, mens GhostSplice bruger AI-agentens egne, legitime handlemuligheder til at udføre angrebet, hvilket gør det sværere at opdage med traditionel statisk analyse.

Historisk kontekst: MCP’s vej fra nichestandard til angrebsflade

Model Context Protocol blev lanceret af Anthropic som et åbent forsøg på at standardisere, hvordan AI-modeller kobler sig til eksterne værktøjer og datakilder. Ideen var enkel: i stedet for at hver AI-leverandør opfandt sin egen integrationsmetode, skulle MCP fungere som en fælles “stikkontakt”, som enhver udvikler kunne bygge værktøjer til. Det lykkedes over al forventning, MCP fik hurtigt opbakning fra flere store leverandører og blev en central byggesten i den agentiske bølge, der prægede 2025 og 2026.

Men den samme åbenhed, der gjorde MCP populært, er også dets akilleshæl. Fordi hvem som helst kan udgive en MCP-server, og fordi AI-agenter som standard stoler på de værktøjsbeskrivelser, de får serveret, opstod der tidligt en diskussion i sikkerhedsmiljøet om, hvorvidt “S’et i MCP burde stå for sikkerhed” (en henvisning til den kendte joke om “S i IoT står for sikkerhed”). Allerede i foråret 2025 pegede sikkerhedsforskere på Hacker News på, at én MCP-server kan overskrive og manipulere en agents adfærd i forhold til en anden server, fordi agenten inkluderer alle installerede MCP-specifikationer i samme kontekst (kilde). GhostSplice er på mange måder den forudsagte konsekvens af den arkitektoniske svaghed, der blev udpeget for over et år siden.

Sådan beskytter du din udviklingsorganisation lige nu

De sikkerhedsforskere, der har dokumenteret GhostSplice og de forudgående MCP-sårbarheder, peger på et sæt konkrete, gennemførlige tiltag, som teams kan implementere uden at vente på leverandørernes langsigtede arkitekturændringer.

  • Betragt alle MCP-servere som utroværdige som udgangspunkt, og forbind kun AI-assistenter til servere, teamet selv kontrollerer eller har revideret grundigt.
  • Begræns adgangen til SSH-nøgler, hemmeligheder og kritiske konfigurationsfiler for de miljøer, hvor AI-agenter kører, og brug separate, minimale nøglesæt til udvikling og test.
  • Aktivér OAuth eller tilsvarende stærk autentificering på alle interne MCP-servere, og undgå at eksponere MCP-endepunkter direkte mod internettet.
  • Deaktiver eller begræns kraftigt auto-udførelse af projekt-definerede MCP-servere i IDE’er og CLI-værktøjer, og behandl “stol på denne mappe”-prompter som en reel sikkerhedsbeslutning.
  • Log og overvåg AI-agenters værktøjskald, herunder argumenter og svar, for at kunne opdage mistænkelige mønstre som gentagne læsninger af .ssh- eller .env-filer.
  • Placér MCP-servere bag reverse proxies eller VPN med adgangsstyring i stedet for at eksponere dem direkte.

For virksomheder, der er underlagt NIS2 eller lignende regulering, giver det god mening at behandle MCP-serverforbindelser som en del af den formelle leverandørrisikovurdering, ikke som en teknisk detalje IT-afdelingen klarer selv. Det er et konkret sted, hvor sikkerhed og compliance faktisk trækker i samme retning.

Markedspåvirkning: presser GhostSplice virksomheder væk fra agentiske værktøjer?

På kort sigt er der ingen tegn på, at GhostSplice bremser den overordnede vækst i brugen af AI-kodeassistenter, adoptionskurven for værktøjer som Claude Code og GitHub Copilot har vist sig robust over for tidligere sikkerhedshændelser i 2026, herunder TrustFall og OX Securitys RCE-fund i foråret. Det afspejler formentlig, at produktivitetsgevinsten ved agentiske værktøjer opleves som stor nok til, at virksomhederne accepterer en vis restrisiko, så længe leverandørerne viser, at de reagerer.

Men der er en mere subtil effekt under overfladen: flere virksomheder begynder at stille krav om interne, kuraterede MCP-registre i stedet for at lade udviklere frit installere servere fra internettet. Det skaber et nyt marked for “betroede” MCP-marketplaces og virksomhedsstyrede godkendelsesflows, en niche som både etablerede sikkerhedsleverandører og nye startups sandsynligvis vil forsøge at udfylde i den kommende tid. Samtidig kan gentagne hændelser som GhostSplice på sigt lægge pres på Anthropic og de øvrige MCP-bidragydere for at indføre obligatorisk autentificering og signering som en del af selve protokolstandarden, frem for at overlade det til den enkelte serverudbyder.

Fem forudsigelser for MCP-sikkerhed frem mod 2027

Baseret på mønsteret i årets afsløringer og leverandørernes reaktioner hidtil, er her fem realistiske bud på, hvor MCP-sikkerheden bevæger sig hen det kommende år.

  1. Obligatorisk autentificering bliver standard. Med kun 8,5 procent af offentlige servere, der i dag bruger OAuth, er det sandsynligt, at de store MCP-klienter (Claude, Copilot, Cursor, Gemini) begynder at kræve autentificering som forudsætning for tilslutning, i stedet for at gøre det valgfrit.
  2. Kuraterede MCP-marketplaces vinder frem. Ligesom app stores indførte gennemgang af mobilapps, vil virksomhedskunder i stigende grad kræve, at MCP-servere er godkendt gennem en central, revideret kanal frem for frit tilgængelige repositories.
  3. Flere navngivne angrebsteknikker dukker op. GhostSplice bliver næppe den sidste “brandede” MCP-sårbarhed. Forvent flere lignende fund fra uafhængige forskningsgrupper i takt med, at flere øjne retter sig mod protokollen.
  4. Regulering begynder at nævne AI-agent-adgang eksplicit. Med NIS2 allerede i kraft i Danmark er det sandsynligt, at fremtidige vejledninger fra myndigheder som Datatilsynet eller Center for Cybersikkerhed konkret adresserer risikoen ved autonome AI-agenters adgang til systemer og hemmeligheder.
  5. Sandboxing bliver et konkurrenceparameter. Leverandører, der kan demonstrere reel proces-isolation for MCP-servere, vil sandsynligvis bruge det aktivt i deres markedsføring over for virksomhedskunder, på samme måde som “no-logs audits” er blevet det for VPN-udbydere.

Ofte stillede spørgsmål om GhostSplice og MCP-sikkerhed

Hvad er MCP, og hvorfor bruger så mange AI-kodeassistenter det?
Model Context Protocol er en åben standard fra Anthropic, der lader AI-agenter forbinde til eksterne værktøjer og datakilder på en ensartet måde. Det gør det muligt for en kodeassistent at læse filer, køre tests eller kalde API’er uden en unik integration for hvert værktøj, hvilket har gjort standarden populær på tværs af Claude Code, Cursor, Copilot og flere andre.

Er min kode eller mine data i fare, hvis jeg bruger GitHub Copilot eller Claude Code?
Risikoen afhænger af, hvilke MCP-servere du har koblet til dit værktøj. Hvis du kun bruger officielle, velkendte servere med stærk autentificering, er risikoen lav. Faren opstår, når man forbinder til ukendte eller uverificerede tredjeparts-MCP-servere med fil- eller netværksadgang.

Er der udstedt et CVE-nummer for GhostSplice specifikt?
Nej, GhostSplice er primært beskrevet som en angrebsteknik og en klasse af angreb frem for en enkelt sårbarhed med eget CVE. Den bygger dog videre på flere tidligere dokumenterede MCP-relaterede CVE’er, herunder CVE-2025-6514, CVE-2025-49596 og CVE-2025-54136.

Kan jeg beskytte mig ved bare at slukke for MCP helt?
Det er en mulighed, men det fjerner samtidig meget af den funktionalitet, der gør moderne AI-kodeassistenter nyttige. De fleste sikkerhedsforskere anbefaler i stedet en “zero trust”-tilgang: kun godkendte, autentificerede MCP-servere, begrænset rettighedsniveau og aktiv logning af agentens værktøjskald.

Hvordan adskiller GhostSplice sig fra almindelig prompt-injektion?
Almindelig prompt-injektion forsøger typisk at skjule en samlet, skadelig instruks ét sted i teksten. GhostSplice spreder i stedet hensigten ud over flere separate, uskyldigt udseende dele af kommunikationen mellem MCP-server og agent, så ingen enkelt del udløser mistanke, før agenten selv samler dem i sin kontekst.

Har danske virksomheder en juridisk forpligtelse til at reagere på denne type sårbarhed?
Virksomheder omfattet af NIS2 har pligt til at vurdere og håndtere risici i deres leverandørkæde, hvilket med rimelighed kan udstrækkes til at omfatte MCP-servere, der har adgang til produktionssystemer eller følsomme data. Lækkes personoplysninger som følge af et GhostSplice-lignende angreb, kan det desuden udløse anmeldelsespligt efter GDPR.

Er open source-MCP-servere mere eller mindre sikre end kommercielle?
Der findes ikke offentliggjort data, der entydigt viser den ene kategori som sikrere end den anden. Det afgørende er ifølge forskningen, om serveren bruger stærk autentificering, begrænser sine egne rettigheder og bliver holdt opdateret, uanset om koden er open source eller lukket.

Hvad bør jeg gøre lige nu, hvis jeg allerede bruger tredjeparts-MCP-servere?
Gennemgå listen over tilkoblede MCP-servere, fjern dem du ikke aktivt bruger eller kender oprindelsen på, aktiver autentificering hvor det er muligt, og roter eventuelle SSH-nøgler eller hemmeligheder, som har været tilgængelige for en AI-agent med ekstern MCP-adgang.

Relateret dækning