Kas yra modelio konteksto protokolas (MCP)?

MCP saugumo paaiškinimas #

Modelio konteksto protokolas nebuvo išleistas su saugumo įspėjimu. Jis pasirodė kaip produktyvumo proveržis, standard kuri leidžia dirbtinio intelekto asistentams pasiekti ne tik pokalbių langą, bet ir tiesiogiai sąveikauti su įrankiais, failais, API ir pipelines. Kai saugumo komandos pradėjo klausinėti, kas yra MCP, jis jau veikė kūrėjų aplinkose dideliu mastu.

Būtent šis atotrūkis tarp pritaikymo ir valdymo yra ta vieta, kur nukreipiamos tiekimo grandinės atakos. Suprasti, kas yra Model Context Protocol, kaip veikia MCP serveriai ir kokias rizikas jie kelia, dabar yra svarbu. pagrindinis reikalavimas bet kuriai „DevSecOps“ komandai, veikiančiai dirbtinio intelekto aplinkoje.

Kas yra modelio konteksto protokolas? Apibrėžimas #

Modelio konteksto protokolas (MCP) yra atviras standard kuris apibrėžia, kaip dideli kalbos modeliai bendrauja su išoriniais įrankiais, duomenų šaltiniais ir paslaugomis. Kai tradicinis DI asistentas atsako tik tekstu, MCP palaikantis asistentas gali atlikti veiksmus (skaityti failus, teikti užklausas API, vykdyti komandas, diegti priklausomybes ir sąveikauti su CI/CD pipelines) per struktūrizuotą sąsają, kuri jungia modelį su kūrėjo aplinka.

MCP „Anthropic“ pristatė 2024 m. lapkritį ir nuo to laiko buvo pritaikytas pagrindinėse dirbtinio intelekto kodavimo priemonėse, įskaitant „Claude“, „Cursor“, „Windsurf“ ir „GitHub Copilot“. Ji suteikia bendrą kalbą dirbtinio intelekto ir įrankių bendravimui, panašiai kaip HTTP suteikia bendrą protokolą žiniatinklio bendravimui.

Jei DI asistentas yra smegenys, tai MCP serveris yra nervų sistema, jungianti jį su kūrėjo įrankiais.

Kaip tai veikia? #

MCP veikia per kliento-serverio architektūrą, sudarytą iš trijų komponentų:

• MCP priegloba yra programa, kurioje dirba kūrėjas, IDE, pvz., VS Code, Cursor ar Windsurf, arba DI asistentas, pvz., Claude. Pagrindinis kompiuteris valdo ryšius su MCP serveriais ir kontroliuoja, prie ko modelis gali prisijungti.
• MCP klientas yra pagrindinio kompiuterio viduje ir palaiko tiesioginį ryšį su kiekvienu MCP serveriu. Jis verčia modelio užklausas į struktūrizuotus įrankių iškvietimus ir grąžina rezultatus modeliui.
• MCP serveris yra tiltas į išorines galimybes. Jis suteikia įrankius, išteklius ir raginimus, kuriuos modelis gali iškviesti. MCP serveris gali prisijungti prie failų sistemos, „GitHub“ saugyklos, duomenų bazės, CI/CD platforma arba saugumo skaitytuvas. Kiekvienas modelio atliekamas įrankio iškvietimas eina per MCP serverį, kuris jį vykdo ir grąžina rezultatą.

Kai kūrėjas paprašo dirbtinio intelekto asistento nuskaityti projektą, ištaisyti pažeidžiamumą arba įdiegti priklausomybę, modelis šių veiksmų tiesiogiai neatlieka. Jis siunčia struktūrizuotą užklausą atitinkamam MCP serveriui, kuris atlieka veiksmą naudodamas autorizuotas vietines priemones ir grąžina išvestį.

MCP ir tradiciniai dirbtinio intelekto asistentai: kas pasikeitė? #

Prieš MCP, dirbtinio intelekto kodavimo asistentai iš esmės buvo pasyvūs. Jie galėjo skaityti kodą, kurį įklijavote į pokalbių langą, ir siūlyti pakeitimus, tačiau negalėjo tiesiogiai reaguoti į jūsų aplinką. MCP visiškai pakeičia šį modelį.

Šis skirtumas yra svarbus saugumui, nes jis pakeičia tai, ką gali pasiekti dirbtinio intelekto asistentas. Tradicinis asistentas, teikiantis blogus patarimus, kainuoja kodo peržiūros ciklą. MCP palaikantis asistentas, kuris atlieka blogą veiksmą (įdiegia kenkėjišką priklausomybę, vykdo pažeistą kūrimo scenarijų arba persiunčia prisijungimo duomenis į išorinį galinį tašką), kainuoja incidentą.

MCP paverčia dirbtinio intelekto asistentus iš patarėjų operatoriais. Šiam pokyčiui reikalingos tos pačios saugumo kontrolės priemonės, kurias taikote bet kuriam operatoriui, turinčiam prieigą prie jūsų infrastruktūros.

Kas yra MCP serveris? #

MCP serveris yra lengvas procesas, kuris atskleidžia galimybes su MCP suderinamiems dirbtinio intelekto klientams. Jis apibrėžia įrankių rinkinį (diskrečius veiksmus, kuriuos modelis gali iškviesti) kartu su ištekliais, kuriuos modelis gali skaityti, ir raginimų šablonais, kuriuos jis gali naudoti.
MCP serveriai skirti įvairioms integracijoms: prieigai prie failų sistemos, „GitHub“, „Slack“, duomenų bazėms, saugumo skeneriams ir kt. CI/CD platformos. Kūrėjai gali paleisti MCP serverius vietoje, savo organizacijos infrastruktūroje, arba prisijungti prie trečiųjų šalių talpinamų MCP serverių, kuriuos teikia išoriniai tiekėjai.
Pastarojoje kategorijoje saugumo rizika tampa konkreti. Trečiosios šalies MCP serveris yra išorinis procesas, turintis prieigą prie kūrėjo aplinkos. Tyrimai rodo, kad 5.5 % viešųjų MCP serverių turi įrankių užkrėtimo spragų, o 43 % – komandų įterpimo pažeidžiamumų, o tai reiškia, kad didelę dalį viešai prieinamų MCP serverių galima panaudoti dirbtinio intelekto elgsenai manipuliuoti, duomenims išfiltruoti arba neteisėtoms komandoms vykdyti.

MCP saugumo rizikos: ką turi žinoti „DevSecOps“ komandos #

MCP pristato naują atakų paviršių, kuriam tradicinės „AppSec“ priemonės nebuvo sukurtos. Pagrindinės rizikos yra šios:

Šešėliniai MCP serveriai. Kūrėjai MCP serverius konfigūruoja lokaliai be oficialaus patvirtinimo ar valdymo, taip sukurdami atsargų spragą. Apsaugos komandos negali apsaugoti to, ko nemato.

Įrankių apsinuodijimas. Kenkėjiškas MCP serveris atskleidžia įrankius, kurie atrodo teisėti, bet modelio iškviečiami atlieka žalingus veiksmus. Kadangi modelis pasitiki gautais įrankių apibrėžimais, jis gali iškviesti užkrėstą įrankį be jokių matomų požymių, kad kažkas negerai.

Greita injekcija per MCP. Kenkėjiškas turinys failuose, dokumentuose ar API atsakymuose gali į modelio kontekstą įterpti instrukcijas ir taip manipuliuoti jo elgesiu. MCP serveris, kuris nuskaito išorinį turinį ir perduoda jį modeliui be jo išvalymo, yra tiesioginio raginimo įterpimo vektorius.

Priklausomybės klastojimas. MCP serveriai, kurie tvarko paketų diegimą arba priklausomybių sprendimą, gali būti pažeisti ir įdiegti kenkėjiškus paketus. Kai DI agentas savarankiškai įdiegia priklausomybę per MCP serverį, tarp kenkėjiško paketo ir įskiepio nėra žmogaus, kuris jį peržiūrėtų. pipeline.

Įgaliojimų atskleidimas. MCP serveriai dažnai tvarko autentifikavimo prieigos raktus, API raktus ir aplinkos kintamuosius. Nesaugi MCP konfigūracija gali atskleisti šiuos prisijungimo duomenis per modelio kontekstą arba per žurnalus.

Neleistinas įrankio vykdymas. Neturint griežtų leidžiamųjų sąrašų, MCP palaikantis asistentas gali iškviesti įrankius, kurie viršija numatytą jo taikymo sritį, modifikuodamas gamybos infrastruktūrą, pasiekdamas jautrias saugyklas arba kreipdamasis į API išorines paslaugas.

Geriausia saugumo praktika #

Norint apsaugoti MCP, kiekvieną MCP serverį reikia traktuoti kaip privilegijuotą integraciją, o ne kaip kūrėjo patogumą.

• Blokuokite kenkėjiškas priklausomybes galiniame taške. Kai MCP palaikantis agentas įdiegia priklausomybę, prieš vykdant diegimą, tą diegimą reikėtų perimti ir nuskaityti. Parašais pagrįsto aptikimo nepakanka; kenkėjiški paketai, skirti dirbtinio intelekto įrankiams, publikuojami greičiau, nei parašai gali juos sekti.

• Susteminkite kiekvieną MCP serverį. Žinokite, kokie MCP serveriai sukonfigūruoti jūsų kūrėjų aplinkose, lokaliai, jūsų CI/CD pipelineir jūsų IDE konfigūracijose. Šešėlinis MCP yra ta pati problema kaip ir šešėlinė IT, turinti tiesioginę prieigą prie jūsų įrankių.

• Įgyvendinti MCP leidžiamųjų sąrašą. Turėtų būti leidžiama veikti tik patvirtintiems MCP serveriams. Bet kuris nepatvirtintas serveris, bandantis prisijungti, turėtų būti užblokuotas galiniame taške, kad galėtų sąveikauti su modeliu.

• Taikyti minimalias teises MCP įrankių apibrėžimams. Kiekvienas MCP serveris turėtų teikti tik tas priemones, kurios reikalingos konkrečiai jo funkcijai. Failus skaitantis serveris neturi teisės teikti paketų diegimo galimybių.

• Patvirtinkite ir dezinfekuokite per MCP perduotą turinį. Bet koks išorinis turinys (failai, API atsakymai, duomenų bazės rezultatai), kuris praeina per MCP serverį ir patenka į modelio kontekstą, yra potencialus raginimo injekcijos vektorius. Elkitės su juo kaip su nepatikima įvestimi.

• Stebėti MCP sąveiką vykdymo metu. Registruoti kiekvieną modelio atliekamą įrankio iškvietimą per MCP serverius. Anomalūs modeliai (netikėti įrankio iškvietimai, išeinantys ryšiai iš kūrimo aplinkų, įrankio iškvietimai ne įprastomis darbo valandomis) yra ankstyvi kompromitacijos požymiai.

Realaus pasaulio saugumo incidentai #

MCP saugumas nėra teorinis. 2026 m. pradžioje Karalienės universiteto tyrimai parodė, kad MCP paketai turi 92 % išnaudojimo tikimybė kai sujungiami keli papildiniai. „PromptMink“ kampanija (priskiriama Šiaurės Korėjos valstybės remiamai grupei „Famous Chollima“) specialiai sukūrė kenkėjiškus „npm“ paketus, skirtus apgauti dirbtinio intelekto kodavimo agentus, veikiančius per MCP tipo sąsajas, ir priversti juos įdiegti kredencialus vagiančią kenkėjišką programą. Paketai buvo sukurti taip, kad dirbtinio intelekto agentams atrodytų teisėti, net jei juos būtų pažymėjęs žmogus.

Birželį 2026 Xygeni patvirtino būti-pagalbininkų ir-openai-agentų-pagalbininkų grupes. (daugiau nei 35 kombinuotos versijos, paskelbtos koordinuotais etapais), tiesiogiai nukreiptos į paketus, naudojamus agentų kūrimo darbo eigose, kuriose dažni MCP ryšiai. Kai DI agentas autonomiškai įdiegia priklausomybę per MCP serverį, tarp kenkėjiško paketo ir vykdymo nėra žmogaus, kuris peržiūrėtų procesą.

Kas yra MCP dirbtinio intelekto tiekimo grandinės saugumo kontekste? #

MCP yra dirbtinio intelekto saugumo ir software supply chain securityTai sluoksnis, jungiantis dirbtinio intelekto modelius su įrankiais, saugyklomis ir infrastruktūra, apibrėžiančiomis šiuolaikinį... SDLC, todėl tai vienu metu yra galingiausias integracijos taškas ir labiausiai pažeidžiama atakų sritis dirbtiniu intelektu pagrįstų programų kūrime.

Tradicinis „AppSec“ apsiriboja saugykla. EDR stebi operacinę sistemą. Nei vienas iš jų nebuvo sukurtas taip, kad suprastų MCP serverius, įrankių iškvietimus ar dirbtinio intelekto tarpininkaujamą priklausomybių diegimą. Skirtumas tarp jų yra būtent ta vieta, kur nukreipiamos MCP pagrindu sukurtos atakos.

Norint apsaugoti MCP, reikia matyti, kokie MCP serveriai veikia, kokius įrankius jie naudoja, ką iškviečia modelis ir ar tvarkomos priklausomybės bei failai buvo patvirtinti. Tai yra dirbtinio intelekto inventorizacija, elgsenos stebėjimas ir tiekimo grandinės saugumas, sujungti į vieną problemą.

MCP apsauga naudojant „Xygeni“
#

MCP saugumui užtikrinti reikia daugiau nei politikos dokumentų ir geriausios praktikos kontrolinių sąrašų. Tam reikia nuolatinio MCP serverių, veikiančių jūsų kūrėjų aplinkose, stebėjimo, kiekieno modelio atliekamo įrankio iškvietimo elgsenos, ir galimybės blokuoti kenkėjiškas priklausomybes galiniame taške prieš joms vykdant, prieš atsirandant parašui. Labai svarbu suprasti, kas yra modelio konteksto protokolas (Model Context Protocol).

„Xygeni“ dirbtinio intelekto saugumo platforma apima visą MCP atakų paviršių: kiekvieno MCP serverio inventorizavimas naudojant AI-SPM, įrankių užkrėtimo, greito įterpimo ir nesaugių MCP konfigūracijų aptikimas naudojant AI saugumo nuskaitymą, suderintą su OWASP MCP Top 10, ir politikos vykdymas kūrėjo galiniame taške naudojant Shield, blokuojant nepatvirtintus MCP serverius ir kenkėjiškas priklausomybes, kol jos nepasiekia pipeline.

Jei jūsų komandos naudoja dirbtinio intelekto kodavimo asistentus, MCP sluoksnis jau yra jūsų atakos paviršiaus dalis. Klausimas, ar jį matote.

DUK #