През 2024 г. MCP (Model Context Protocol) си постави за цел да се превърне в USB-C за изкуствения интелект: единен стандарт за свързване на модели, агенти и среди за разработка (IDE) с инструменти и данни. Протоколът изпълни това обещание. Хиляди разработчици създадоха сървъри, а компаниите ги интегрираха в работните си процеси с агенти.

Екосистемата около него обаче не отговори на очакванията. По-рано тази година нашият екип в OX Security проследи критични уязвимости в изходния код на MCP на Anthropic, изтеглен над 150 милиона пъти. Този път разгледахме какво действително инсталират потребителите: публикувани от общността сървъри в най-популярните MCP магазини за приложения. Не открихме никакви защитни механизми и никакъв преглед за сигурност. Сигурността е препоръка, а не политика.

Магазин за приложения без охрана

През 2012 г. Google използваше Bouncer – автоматизиран скенер, който проверяваше приложенията за Android за зловреден софтуер, преди да достигнат до потребителите. Той не беше перфектен: изследователи успяваха да прокарат зловреден код покрай него. Но поне съществуваше. Магазините за MCP нямат аналог. Всеки може да напише сървър, да го качи и да го публикува.

Дори прегледът на кода не би отстранил проблема. На конференциите RSAC и OWASP миналата година представихме „In GitHub We Trust: 10 Ways You Can Get Pwned“ – за това как разработчиците прекомерно се доверяват на това, което виждат в дадено хранилище. MCP повтаря тази грешка. Отдалечените MCP сървъри могат да изпълняват бекенд код, който се различава изцяло от показаното в публичното им хранилище. Прегледът на кода ви казва какво е публикувал разработчикът, а не какво изпълнява сървърът.

Къде отиват вашите данни?

През последното десетилетие компаниите изградиха строги правила за управление, за да внедрят безопасно публичния облак: правила за локализация на данните, граници на Нулево доверие (Zero Trust), детайлен IAM и одити на веригата на доставки. Връзките през MCP често остават извън всичко това.

За да оценим този пропуск, анализирахме 15 465 публично индексирани MCP сървъра в 5 MCP регистъра, премахвайки дубликатите до 5 095 уникални хост имена.

  • Хоствани извън САЩ: 15,6% от хост имената се пренасочват към инфраструктура извън Съединените щати, включително 19 в Китай и 18 в Русия. Агент, свързан към тези сървъри, може да изпраща данни към юрисдикции, които екипът по сигурност никога не е одобрявал.
  • Работещи на лични компютри: 0,45% пренасочват трафика си през потребителски тунелни услуги, основно ngrok-free. Тези публично публикувани сървъри работят от лични машини и най-вероятно от домашни мрежи.
  • Изоставени домейни: 2,3% вече не се пренасочват. Шест са разположени на изтекли домейни, които всеки може да регистрира за 4 до 12 долара на година. Новият собственик би наследил установена самоличност на сървъра, заедно със заявките от всеки агент, който все още е конфигуриран да го търси.

Местоположението също може да се променя. Оператор би могъл да стартира сървър с чист американски IP адрес и по-късно да пренасочи трафика другаде.

Пълният доклад обхваща нашата методология, концептуално доказателство за prompt-injection атака и сценариите за заплахи зад всяка констатация. Изтеглете „15,465 MCP Servers, 0 Governance“

Доверието е повърхността за атака

Протоколът не е проблемът. Проблемът е доверието, което му гласуваме. Докато магазините за приложения не добавят проверка, подписване на кода и верификация на произхода, организациите ще трябва сами да вършат тази работа.

Навън все още е джунгла. Уверете се, че не сте плячката.

Вземете пълния доклад „15,465 MCP Servers, 0 Governance“

Забележка: Тази статия е написана от експерт и предоставена от Моше Симан Тов Бустан, ръководител на екипа за изследвания в областта на сигурността в OX Security.