MCP сървърите могат да разкрият корпоративни тайни чрез конфигурационни файлове в текстов формат (plaintext), прекомерни нива на достъп и инжектиране на подкани (prompt injection), често още преди екипите по сигурност дори да разберат, че сървърът работи. Тъй като все повече организации внедряват AI агенти в своите системи, това излагане на риск може тихо да се превърне в голяма пролука в сигурността на MCP сървърите. Протоколът за контекст на модела (Model Context Protocol - MCP) позволява на AI агентите да достигнат до инструментите и данните, включително вътрешна документация и облачна инфраструктура, които съставляват основата на корпоративните системи. Зад това удобство MCP сървърът, свързващ тези инструменти и данни с корпоративните системи, обикновено държи ключовете за всичко, до което се докосва: идентификационни данни, ключове за сервизни акаунти, API токени и други тайни. Всяка организация сега трябва да си зададе въпроса какви тайни предоставя на изкуствения интелект и колко добре са защитени тези тайни, след като достигнат до MCP сървър.

Какво представлява Model Context Protocol (MCP)?

Model Context Protocol (MCP) е отворен стандарт, първоначално представен от Anthropic, който позволява на AI асистенти да се свързват с външни инструменти и данни. Вместо да бъде ограничен до съществуващите познания на даден модел, даден AI агент може да използва MCP за достъп до работещи системи в реално време, извличайки запис от база данни, отваряйки файл или извиквайки API. Това, което прави този процес възможен, е MCP сървърът: малка програма, която се намира между изкуствения интелект и системата, която той иска да използва, показвайки специфичните действия, които на AI агента е разрешено да извършва. Тъй като MCP сървърът служи като посредник, именно тук се крие най-големият риск, защото, за да действа в дадена система, MCP сървърът изисква идентификационните данни за тази система.

Агентите вече не просто генерират отговори; те предприемат действия, като извличат чувствителни данни и решават кои инструменти да извикат, използвайки нечовешки идентичности (Non-Human Identities - NHIs) като API ключове и токени. Тъй като MCP превръща AI агентите в активни идентичности, работещи в корпоративните системи, изтичането на тайна не просто разкрива данни; то също така дава на атакуващия възможност да действа от тяхно име.

Начини, по които MCP сървърите могат да разкрият тайни

Удобството на MCP идва с уловка: същият сървър, който позволява на AI агента да върши полезна работа, е и централен пункт за идентификационни данни. Тъй като MCP е иновация и се развива бързо, много сървъри се изграждат и внедряват без мерките за сигурност, които би трябвало да се очакват за нещо, съхраняващо производствени ключове. Ето някои от най-често срещаните начини, по които тайните могат да се окажат компрометирани в MCP сървърите.

Нешифровани идентификационни данни в конфигурационни файлове

MCP сървърите рутинно съхраняват токените и ключовете, от които се нуждаят, в локални конфигурационни файлове и често в текстов формат. При много конфигурации стартирането на сървъра означава поставяне на конфигурационен низ, който съдържа самите идентификационни данни. Ако този файл бъде оставен на диска, е много вероятно той да бъде пренебрегнат, копиран между машини или случайно изпратен в Git хранилище. След като атакуващ получи достъп до този сървър, всичко, което той съдържа, става четимо.

Разрастване на идентификационни данни в неуправлявани сървъри

Без централно място за съхранение на тайни, всеки AI агент в крайна сметка управлява свои собствени. Същите идентификационни данни — включително API ключове и токени — се разпръскват в конфигурационни файлове и променливи на средата, а дублиращи се копия се натрупват в средите за разработка, тестване и производство. Тъй като никой няма пълен опис на тези тайни, те рядко се подменят (ротират), оставяйки ги валидни и статични за неопределено време. Всяка разпръсната, дълготрайна тайна може да бъде открадната от атакуващ, създавайки още една потенциална входна точка за пробив.

Не всяко изтичане изисква атакуващ да извърши пробив. Тъй като AI агентите четат и действат въз основа на предоставения им материал, атакуващ може да скрие инструкции в документ, тикет за поддръжка или уеб страница, до която агентът има достъп. В резултат на това агентът може да последва тези скрити указания, третирайки ги като легитимни команди в процес, известен като инжектиране на подкани (prompt injection). Агентите могат да бъдат подведени да злоупотребят с инструментите си или да предадат тайните, които са им били поверени за защита.

За да избегнат грешки с оторизацията по време на разработката, разработчиците често предоставят на даден MCP сървър широки разрешения и продължават напред. Тези прекомерни права обаче често стигат до производствената среда, ако бъдат забравени. Когато не се прилага принципът на минималните привилегии, даден AI агент може да достигне далеч отвъд необходимото за неговата задача, което означава, че всяко единично компрометиране излага на риск много повече, отколкото би трябвало.

Всеки може да публикува MCP сървър, което представлява потенциален проблем с веригата за доставки. Свързването с ненадежден сървър може да се обърне срещу вас, както демонстрира CVE-2025-6514. В mcp-remote (OAuth прокси, изтеглено над 400 000 пъти, което се изпълнява на клиентската машина), компрометиран сървър може да задейства инжектиране на команди в операционната система, водещо до отдалечено изпълнение на код на машината, изпълняваща проксито, и да позволи на атакуващите да откраднат нейните идентификационни данни.

Как да защитим корпоративните тайни в MCP сървърите

MCP променя местата, където се съхраняват тайните, и субектите, които имат достъп до тях, но мерките за защитата им трябва да се прилагат целенасочено към този нов AI слой. Ето няколко добри практики, които противодействат на начините за компрометиране: Спрете да кодирате твърдо тайните и ги централизирайте. Извличане на кред...