Che cos'è il Model Context Protocol (MCP)?

Spiegazione della sicurezza di MCP #

Il Model Context Protocol non è arrivato con un avviso di sicurezza. È arrivato come una svolta in termini di produttività, un standard che consente agli assistenti IA di andare oltre la finestra di chat e interagire direttamente con strumenti, file, API e pipelineQuando i team di sicurezza hanno iniziato a chiedersi cosa fosse MCP, era già ampiamente utilizzato negli ambienti di sviluppo.

Quel divario tra adozione e governance è esattamente dove si insinuano gli attacchi alla catena di approvvigionamento. Comprendere cos'è il Model Context Protocol, come funzionano i server MCP e quali rischi introducono è ora un Requisito fondamentale per qualsiasi team DevSecOps che opera in un ambiente nativo dell'IA.

Cos'è il Model Context Protocol? Definizione #

Il Model Context Protocol (MCP) è un protocollo aperto standard che definisce come i grandi modelli linguistici comunicano con strumenti esterni, fonti di dati e servizi. Mentre un assistente AI tradizionale risponde solo con testo, un assistente abilitato MCP può intraprendere azioni (leggere file, interrogare API, eseguire comandi, installare dipendenze e interagire con CI/CD pipelines) attraverso un'interfaccia strutturata che collega il modello all'ambiente di sviluppo.

MCP è stato introdotto da Anthropic nel novembre 2024 e da allora è stato adottato dai principali strumenti di programmazione per l'IA, tra cui Claude, Cursor, Windsurf e GitHub Copilot. Fornisce un linguaggio comune per la comunicazione tra IA e strumenti, in modo simile a come HTTP fornisce un protocollo comune per la comunicazione web.

Se l'assistente IA è il cervello, il server MCP è il sistema nervoso che lo collega al corpo degli strumenti di sviluppo.

Come funziona? #

MCP opera tramite un'architettura client-server con tre componenti:

• L'host MCP L'host è l'applicazione in cui lavora lo sviluppatore, un IDE come VS Code, Cursor o Windsurf, oppure un assistente IA come Claude. L'host gestisce le connessioni ai server MCP e controlla a quali risorse il modello può accedere.
• Il client MCP Risiede all'interno dell'host e mantiene una connessione uno a uno con ciascun server MCP. Traduce le richieste del modello in chiamate strutturate agli strumenti e restituisce i risultati al modello.
• Il server MCP è il ponte verso le capacità esterne. Espone strumenti, risorse e prompt che il modello può richiamare. Un server MCP potrebbe connettersi a un file system, a un repository GitHub, a un database, a CI/CD piattaforma o uno scanner di sicurezza. Ogni chiamata di strumento effettuata dal modello passa attraverso il server MCP, che la esegue e restituisce il risultato.

Quando uno sviluppatore chiede a un assistente IA di scansionare un progetto, correggere una vulnerabilità o installare una dipendenza, il modello non esegue direttamente tali azioni. Invia invece una richiesta strutturata al server MCP competente, che esegue l'azione utilizzando strumenti locali autorizzati e restituisce il risultato.

MCP vs Assistenti AI tradizionali: cosa è cambiato? #

Prima di MCP, gli assistenti di programmazione basati sull'IA erano fondamentalmente passivi. Potevano leggere il codice incollato nella chat e suggerire modifiche, ma non potevano agire direttamente sul tuo ambiente. MCP cambia completamente questo modello.

La differenza è importante per la sicurezza perché cambia ciò che un assistente IA può raggiungere. Un assistente tradizionale che fornisce consigli errati comporta un ciclo di revisione del codice. Un assistente abilitato per MCP che compie un'azione errata (installando una dipendenza dannosa, eseguendo uno script di build compromesso o inoltrando le credenziali a un endpoint esterno) comporta un incidente.

MCP trasforma gli assistenti IA da consulenti ad operatori. Questa trasformazione richiede gli stessi controlli di sicurezza che si applicano a qualsiasi operatore con accesso all'infrastruttura.

Che cos'è un server MCP? #

Un MCP il server è un processo leggero che espone le funzionalità ai client di IA compatibili con MCP. Definisce un insieme di strumenti (azioni discrete che il modello può richiamare) insieme alle risorse che il modello può leggere e ai modelli di prompt che può utilizzare.
I server MCP esistono per una vasta gamma di integrazioni: accesso al file system, GitHub, Slack, database, scanner di sicurezza e CI/CD piattaforme. Gli sviluppatori possono eseguire server MCP localmente, all'interno dell'infrastruttura della propria organizzazione, oppure connettersi a server MCP ospitati da terze parti e forniti da provider esterni.
Quest'ultima categoria è quella in cui il rischio per la sicurezza diventa concreto. Un server MCP di terze parti è un processo esterno con accesso all'ambiente di sviluppo. Le ricerche dimostrano che il 5.5% dei server MCP pubblici presenta vulnerabilità di avvelenamento degli strumenti e il 43% vulnerabilità di iniezione di comandi, il che significa che una quota significativa di server MCP disponibili pubblicamente può essere utilizzata per manipolare il comportamento dell'IA, esfiltrare dati o eseguire comandi non autorizzati.

Rischi per la sicurezza di MCP: cosa devono sapere i team DevSecOps #

MCP introduce una nuova superficie di attacco che gli strumenti tradizionali di sicurezza delle applicazioni non sono stati progettati per coprire. I rischi principali sono:

Server Shadow MCP. Gli sviluppatori configurano i server MCP localmente senza approvazione formale o supervisione, creando una lacuna nell'inventario. I team di sicurezza non possono proteggere ciò che non possono vedere.

Avvelenamento degli utensili. Un server MCP malevolo espone strumenti che appaiono legittimi ma che, una volta richiamati dal modello, eseguono azioni dannose. Poiché il modello si fida delle definizioni degli strumenti che riceve, può richiamare uno strumento infetto senza che vi sia alcuna indicazione visibile di un problema.

Iniezione rapida tramite MCP. Il contenuto dannoso presente in file, documenti o risposte API può iniettare istruzioni nel contesto del modello, manipolandone il comportamento. Un server MCP che legge contenuti esterni e li trasmette al modello senza alcuna sanificazione rappresenta un vettore diretto di iniezione di prompt.

Manomissione delle dipendenze. I server MCP che gestiscono l'installazione dei pacchetti o la risoluzione delle dipendenze possono essere compromessi per installare pacchetti dannosi. Quando un agente AI installa autonomamente una dipendenza tramite un server MCP, non c'è alcun revisore umano tra il pacchetto dannoso e il pipeline.

Esposizione delle credenziali. I server MCP gestiscono frequentemente token di autenticazione, chiavi API e variabili d'ambiente. Una configurazione MCP non sicura può esporre queste credenziali attraverso il contesto del modello o tramite i log.

Esecuzione di strumenti non autorizzata. In assenza di liste di autorizzazione rigorose, un assistente abilitato per MCP può richiamare strumenti che esulano dal suo ambito previsto, modificando l'infrastruttura di produzione, accedendo a repository sensibili o effettuando chiamate API a servizi esterni.

Best practice per la sicurezza #

La protezione di MCP richiede di trattare ogni server MCP come un'integrazione privilegiata, non come una semplice comodità per gli sviluppatori.

• Blocca le dipendenze dannose a livello dell'endpoint. Quando un agente abilitato per MCP installa una dipendenza, tale installazione dovrebbe essere intercettata e analizzata prima dell'esecuzione. Il rilevamento basato sulle firme non è sufficiente; i pacchetti dannosi che prendono di mira gli strumenti di intelligenza artificiale vengono pubblicati più velocemente di quanto le firme riescano a tracciarli.

• Eseguire l'inventario di ogni server MCP. Scopri quali server MCP sono configurati nei tuoi ambienti di sviluppo, localmente, nel tuo CI/CD pipelinee nelle configurazioni del tuo IDE. Shadow MCP è lo stesso problema di Shadow IT, con accesso diretto ai tuoi strumenti.

• Applicare una lista di elementi consentiti MCP. È consentito l'esecuzione solo dei server MCP approvati. Qualsiasi server non approvato che tenti di connettersi deve essere bloccato all'endpoint prima che possa interagire con il modello.

• Applica il principio del minimo privilegio alle definizioni degli strumenti MCP. Ogni server MCP dovrebbe esporre solo gli strumenti necessari per la sua specifica funzione. Un server di lettura file non ha motivo di esporre funzionalità di installazione di pacchetti.

• Convalidare e sanificare i contenuti che transitano attraverso MCP. Qualsiasi contenuto esterno (file, risposte API, risultati di database) che transita attraverso un server MCP e viene inserito nel contesto del modello rappresenta un potenziale vettore di iniezione di prompt. Trattatelo come input non attendibile.

• Monitorare le interazioni MCP in fase di esecuzione. Registra ogni chiamata di strumento effettuata dal modello tramite i server MCP. Modelli anomali (chiamate di strumenti inaspettate, connessioni in uscita dagli ambienti di compilazione, chiamate di strumenti al di fuori del normale orario di lavoro) sono indicatori precoci di una compromissione.

Incidenti di sicurezza reali #

La sicurezza MCP non è teorica. All'inizio del 2026, una ricerca della Queen's University ha documentato che gli stack MCP hanno una Probabilità di sfruttamento del 92% quando vengono combinati più plugin. La campagna PromptMink (attribuita al gruppo Famous Chollima, sponsorizzato dallo stato nordcoreano) ha specificamente progettato pacchetti npm dannosi per ingannare gli agenti di programmazione IA che operano tramite interfacce simili a MCP, inducendoli a installare malware per il furto di credenziali. I pacchetti erano progettati per apparire legittimi agli agenti IA anche quando un revisore umano li avrebbe segnalati.

A giugno 2026, Xygeni ha confermato i cluster ollama-helpers e openai-agents-helpers (oltre 35 versioni combinate pubblicate in ondate coordinate) che prendono di mira direttamente i pacchetti utilizzati nei flussi di lavoro di sviluppo di agenti in cui le connessioni MCP sono comuni. Quando un agente IA installa autonomamente una dipendenza tramite un server MCP, non c'è alcun revisore umano tra il pacchetto dannoso e la sua esecuzione.

Che cos'è MCP nel contesto della sicurezza della catena di fornitura dell'IA? #

MCP si trova all'intersezione tra sicurezza dell'IA e software supply chain securityÈ il livello che collega i modelli di IA agli strumenti, ai repository e all'infrastruttura che definiscono il moderno SDLC, il che lo rende contemporaneamente il punto di integrazione più potente e la superficie di attacco più esposta nello sviluppo di applicazioni AI-native.

La sicurezza delle applicazioni tradizionale si ferma al repository. L'EDR monitora il sistema operativo. Nessuno dei due è stato progettato per comprendere i server MCP, le chiamate agli strumenti o l'installazione delle dipendenze mediata dall'IA. Il divario tra i due è proprio il punto in cui si insinuano gli attacchi basati su MCP.

Proteggere MCP richiede visibilità sui server MCP in esecuzione, sugli strumenti che espongono, su cosa richiama il modello e se le dipendenze e i file gestiti sono stati convalidati. Si tratta, in sostanza, di un problema che combina inventario dell'IA, monitoraggio comportamentale e sicurezza della catena di fornitura.

Protezione MCP con Xygeni
#

La sicurezza di MCP richiede più di semplici documenti di policy e liste di controllo delle best practice. Richiede una visibilità continua sui server MCP in esecuzione negli ambienti di sviluppo, il monitoraggio comportamentale di ogni chiamata di strumento effettuata dal modello e la capacità di bloccare le dipendenze dannose all'endpoint prima che vengano eseguite, prima che esista una firma. Comprendere cos'è il Model Context Protocol è fondamentale.

La piattaforma di sicurezza basata sull'intelligenza artificiale di Xygeni copre l'intera superficie di attacco MCP: inventariando ogni server MCP tramite AI-SPM, rilevando l'avvelenamento degli strumenti, l'iniezione di prompt e le configurazioni MCP non sicure tramite la scansione di sicurezza AI allineata a OWASP MCP Top 10 e applicando le policy all'endpoint dello sviluppatore tramite Shield, bloccando i server MCP non approvati e le dipendenze dannose prima che raggiungano il pipeline.

Se i vostri team utilizzano assistenti di programmazione basati sull'IA, il livello MCP (Multi-Criteria Platform) fa già parte della vostra superficie di attacco. La domanda è se riuscite a vederlo.

FAQ #