Što je protokol konteksta modela (MCP)?

Objašnjenje sigurnosti MCP-a #

Protokol konteksta modela nije stigao s upozorenjem o sigurnosti. Stigao je kao proboj u produktivnosti, standard koji omogućuje AI asistentima da dosegnu izvan prozora za chat i izravno komuniciraju s alatima, datotekama, API-jima i pipelineDo trenutka kada su sigurnosni timovi počeli pitati što je MCP, on se već izvodio unutar razvojnih okruženja u velikim razmjerima.

Taj jaz između usvajanja i upravljanja upravo je mjesto gdje se događaju napadi na lanac opskrbe. Razumijevanje što je Model Context Protocol, kako MCP poslužitelji rade i koje rizike donose sada je osnovni zahtjev za svaki DevSecOps tim koji radi u okruženju zasnovanom na umjetnoj inteligenciji.

Što je protokol konteksta modela? Definicija #

Protokol konteksta modela (MCP) je otvoreni standard koji definira kako veliki jezični modeli komuniciraju s vanjskim alatima, izvorima podataka i uslugama. Dok tradicionalni AI asistent odgovara samo tekstom, MCP-om omogućeni asistent može poduzeti radnje (čitanje datoteka, ispitivanje API-ja, pokretanje naredbi, instaliranje ovisnosti i interakciju s CI/CD pipelines) putem strukturiranog sučelja koje povezuje model s razvojnim okruženjem.

MCP je predstavio Anthropic u studenom 2024. i od tada je usvojen u glavnim alatima za kodiranje umjetne inteligencije, uključujući Claude, Cursor, Windsurf i GitHub Copilot. Pruža zajednički jezik za komunikaciju između umjetne inteligencije i alata, slično kao što HTTP pruža zajednički protokol za web komunikaciju.

Ako je AI asistent mozak, MCP poslužitelj je živčani sustav koji ga povezuje s tijelom razvojnih alata.

Kako radi? #

MCP radi putem klijent-poslužitelj arhitekture s tri komponente:

• Domaćin MCP-a je aplikacija u kojoj programer radi, IDE poput VS Codea, Cursora ili Windsurfa ili AI asistent poput Claudea. Domaćin upravlja vezama s MCP poslužiteljima i kontrolira čemu model može pristupiti.
• MCP klijent nalazi se unutar hosta i održava izravnu vezu sa svakim MCP poslužiteljem. Prevodi zahtjeve modela u strukturirane pozive alata i vraća rezultate modelu.
• MCP poslužitelj je most prema vanjskim mogućnostima. Izlaže alate, resurse i upute koje model može pozvati. MCP poslužitelj može se povezati s datotečnim sustavom, GitHub repozitorijem, bazom podataka, CI/CD platforma ili sigurnosni skener. Svaki poziv alata koji model napravi prolazi kroz MCP poslužitelj, koji ga izvršava i vraća rezultat.

Kada programer zatraži od AI asistenta da skenira projekt, popravi ranjivost ili instalira ovisnost, model ne izvršava te radnje izravno. Šalje strukturirani zahtjev relevantnom MCP poslužitelju, koji izvršava radnju koristeći ovlaštene lokalne alate i vraća izlaz.

MCP vs. tradicionalni AI asistenti: Što se promijenilo? #

Prije MCP-a, AI asistenti za kodiranje bili su u osnovi pasivni. Mogli su čitati kod koji ste zalijepili u chat i predlagati promjene, ali nisu mogli izravno djelovati na vaše okruženje. MCP u potpunosti mijenja taj model.

Razlika je važna za sigurnost jer mijenja doseg AI asistenta. Tradicionalni asistent koji daje loše savjete košta vas ciklusa pregleda koda. Asistent s omogućenim MCP-om koji poduzima lošu radnju (instaliranje zlonamjerne ovisnosti, izvršavanje kompromitiranog skripta za izgradnju ili prosljeđivanje vjerodajnica vanjskoj krajnjoj točki) košta vas incidenta.

MCP pretvara AI asistente iz savjetnika u operatere. Ta promjena zahtijeva iste sigurnosne kontrole koje primjenjujete na bilo kojeg operatera s pristupom vašoj infrastrukturi.

Što je MCP poslužitelj? #

MCP Server je lagani proces koji otkriva mogućnosti za MCP-kompatibilne AI klijente. Definira skup alata (diskretne radnje koje model može pozvati) zajedno s resursima koje model može čitati i predlošcima upita koje može koristiti.
MCP poslužitelji postoje za širok raspon integracija: pristup datotečnom sustavu, GitHub, Slack, baze podataka, sigurnosne skenere i CI/CD platforme. Razvojni programeri mogu pokretati MCP poslužitelje lokalno, unutar infrastrukture svoje organizacije, ili se povezati s MCP poslužiteljima trećih strana koje pružaju vanjski dobavljači.
U posljednjoj kategoriji sigurnosni rizik postaje konkretan. MCP poslužitelj treće strane je vanjski proces s pristupom okruženju programera. Istraživanja pokazuju da 5.5% javnih MCP poslužitelja ima nedostatke trovanja alata, a 43% ima ranjivosti ubrizgavanja naredbi, što znači da značajan udio javno dostupnih MCP poslužitelja može biti oružje za manipuliranje ponašanjem umjetne inteligencije, krađu podataka ili izvršavanje neovlaštenih naredbi.

Sigurnosni rizici MCP-a: Što DevSecOps timovi trebaju znati #

MCP uvodi novu površinu napada koju tradicionalni AppSec alati nisu mogli pokriti. Ključni rizici su:

Shadow MCP poslužitelji. Razvojni programeri konfiguriraju MCP poslužitelje lokalno bez formalnog odobrenja ili upravljanja, stvarajući prazninu u inventaru. Sigurnosni timovi ne mogu zaštititi ono što ne mogu vidjeti.

Trovanje alatima. Zlonamjerni MCP poslužitelj otkriva alate koji se čine legitimnima, ali izvršavaju štetne radnje kada ih model pozove. Budući da model vjeruje definicijama alata koje prima, može pokrenuti zaraženi alat bez ikakve vidljive naznake da nešto nije u redu.

Brza injekcija putem MCP-a. Zlonamjerni sadržaj u datotekama, dokumentima ili API odgovorima može ubrizgati upute u kontekst modela, manipulirajući njegovim ponašanjem. MCP poslužitelj koji čita vanjski sadržaj i prosljeđuje ga modelu bez sanitizacije je vektor izravnog prompta ubrizgavanja.

Nedozvoljeno mijenjanje ovisnosti. MCP poslužitelji koji upravljaju instalacijom paketa ili rješavanjem ovisnosti mogu biti kompromitirani radi instaliranja zlonamjernih paketa. Kada AI agent autonomno instalira ovisnost putem MCP poslužitelja, ne postoji ljudski pregledatelj između zlonamjernog paketa i pipeline.

Izloženost vjerodajnica. MCP poslužitelji često obrađuju tokene za autentifikaciju, API ključeve i varijable okruženja. Nesigurna MCP konfiguracija može otkriti te vjerodajnice putem konteksta modela ili putem zapisnika.

Neovlašteno izvršavanje alata. Bez strogih popisa dopuštenih, pomoćnik s omogućenim MCP-om može pozivati ​​alate koji prelaze njegov predviđeni opseg, mijenjati produkcijsku infrastrukturu, pristupati osjetljivim repozitorijima ili upućivati ​​API pozive vanjskim servisima.

Najbolje sigurnosne prakse #

Osiguravanje MCP-a zahtijeva tretiranje svakog MCP poslužitelja kao privilegirane integracije, a ne kao pogodnost za razvojne programere.

• Blokirajte zlonamjerne ovisnosti na krajnjoj točki. Kada agent s omogućenim MCP-om instalira ovisnost, tu instalaciju treba presresti i skenirati prije izvršenja. Detekcija na temelju potpisa nije dovoljna; zlonamjerni paketi usmjereni na AI alate objavljuju se brže nego što ih potpisi mogu pratiti.

• Popisati svaki MCP poslužitelj. Znajte koji su MCP poslužitelji konfigurirani u vašim razvojnim okruženjima, lokalno, u vašem CI/CD pipelines i u vašim IDE konfiguracijama. Shadow MCP je isti problem kao i shadow IT, s izravnim pristupom vašim alatima.

• Provedite popis dopuštenih MCP-ova. Samo odobreni MCP poslužitelji trebaju imati dopuštenje za rad. Svaki neodobreni poslužitelj koji se pokušava povezati treba blokirati na krajnjoj točki prije nego što može komunicirati s modelom.

• Primijeni najmanje privilegije na definicije MCP alata. Svaki MCP poslužitelj trebao bi otkriti samo alate potrebne za njegovu specifičnu funkciju. Poslužitelj za čitanje datoteka nema pravo otkriti mogućnosti instalacije paketa.

• Validirajte i dezinficirajte sadržaj koji prolazi kroz MCP. Bilo koji vanjski sadržaj (datoteke, API odgovori, rezultati baze podataka) koji prolazi kroz MCP poslužitelj i ulazi u kontekst modela potencijalni je vektor ubrizgavanja prompta. Tretirajte ga kao nepouzdani ulaz.

• Pratite MCP interakcije tijekom izvođenja. Zabilježite svaki poziv alata koji model uputi putem MCP poslužitelja. Anomalni obrasci (neočekivani pozivi alata, odlazne veze iz okruženja za izradu, pozivi alata izvan uobičajenog radnog vremena) rani su pokazatelji kompromitiranja.

Sigurnosni incidenti u stvarnom svijetu #

Sigurnost MCP-a nije teorijska. Početkom 2026. godine, istraživanje Sveučilišta Queen's dokumentiralo je da MCP skladišta imaju 92% vjerojatnosti iskorištavanja kada se kombinira više dodataka. Kampanja PromptMink (koja se pripisuje sjevernokorejskoj državno sponzoriranoj skupini Famous Chollima) posebno je osmislila zlonamjerne npm pakete kako bi prevarila agente umjetne inteligencije koji rade putem sučelja sličnih MCP-u da instaliraju zlonamjerni softver za krađu vjerodajnica. Paketi su dizajnirani da izgledaju legitimno agentima umjetne inteligencije čak i kada bi ih ljudski preglednik označio.

U lipnju 2026, Xygeni je potvrdio klastere ollama-helpers i openai-agents-helpers (preko 35 kombiniranih verzija objavljenih u koordiniranim valovima) izravno ciljajući pakete koji se koriste u tijekovima rada agentskog razvoja gdje su MCP veze uobičajene. Kada AI agent autonomno instalira ovisnost putem MCP poslužitelja, nema ljudskog pregledatelja između zlonamjernog paketa i izvršenja.

Što je MCP u kontekstu sigurnosti lanca opskrbe umjetnom inteligencijom? #

MCP se nalazi na sjecištu sigurnosti umjetne inteligencije i software supply chain securityTo je sloj koji povezuje AI modele s alatima, repozitorijima i infrastrukturom koji definiraju moderno SDLC, što ga istovremeno čini najmoćnijom točkom integracije i najizloženijom površinom za napad u razvoju zasnovanom na umjetnoj inteligenciji.

Tradicionalni AppSec se zaustavlja u repozitoriju. EDR prati operativni sustav. Nijedan nije izgrađen da razumije MCP poslužitelje, pozive alata ili instalaciju ovisnosti posredovanu umjetnom inteligencijom. Jaz između njih je upravo mjesto gdje MCP-bazirani napadi završavaju.

Osiguravanje MCP-a zahtijeva uvid u to koji MCP poslužitelji rade, koje alate otkrivaju, što model poziva i jesu li ovisnosti i datoteke koje se obrađuju validirane. To znači da su inventar umjetne inteligencije, praćenje ponašanja i sigurnost lanca opskrbe spojeni u jedan problem.

Osiguravanje MCP-a s Xygenijem
#

Sigurnost MCP-a zahtijeva više od dokumenata o politici i kontrolnih popisa najboljih praksi. Zahtijeva kontinuiranu vidljivost onoga što MCP poslužitelji izvode u vašim razvojnim okruženjima, praćenje ponašanja svakog poziva alata koji model upućuje i mogućnost blokiranja zlonamjernih ovisnosti na krajnjoj točki prije nego što se izvrše, prije nego što postoji potpis. Ključno je razumijevanje što je Model Context Protocol.

Xygenijeva platforma za umjetnu inteligenciju i sigurnost pokriva cijelu površinu MCP napada: inventarizaciju svakog MCP poslužitelja putem AI-SPM-a, otkrivanje trovanja alata, brzog ubrizgavanja i nesigurnih MCP konfiguracija putem AI sigurnosnog skeniranja usklađenog s OWASP MCP Top 10 i provođenje pravila na krajnjoj točki razvojnog programera putem Shield, blokirajući neodobrene MCP poslužitelje i zlonamjerne ovisnosti prije nego što dođu do pipeline.

Ako vaši timovi koriste AI asistente za kodiranje, MCP sloj je već dio vaše napadne površine. Pitanje je možete li ga vidjeti.

Česta pitanja #