Hva er Model Context Protocol (MCP)?

MCP-sikkerhet forklart #

Model Context Protocol kom ikke med en sikkerhetsadvarsel. Den kom som et produktivitetsgjennombrudd, et standard som lar AI-assistenter nå utover chatvinduet og samhandle direkte med verktøy, filer, API-er og pipelines. Da sikkerhetsteamene begynte å spørre hva MCP er, kjørte det allerede i stor skala i utviklermiljøer.

Det er nettopp det gapet mellom adopsjon og styring som fører til angrep i forsyningskjeden. Å forstå hva Model Context Protocol er, hvordan MCP-servere fungerer og hvilke risikoer de introduserer, er nå en kjernekrav for ethvert DevSecOps-team som opererer i et AI-native miljø.

Hva er modellkontekstprotokollen? Definisjon #

Model Context Protocol (MCP) er en åpen standard som definerer hvordan store språkmodeller kommuniserer med eksterne verktøy, datakilder og tjenester. Der en tradisjonell AI-assistent bare svarer med tekst, kan en MCP-aktivert assistent utføre handlinger (lese filer, spørre API-er, kjøre kommandoer, installere avhengigheter og samhandle med CI/CD pipelines) gjennom et strukturert grensesnitt som kobler modellen til utviklerens miljø.

MCP ble introdusert av Anthropic i november 2024 og har siden blitt tatt i bruk i store AI-kodingsverktøy, inkludert Claude, Cursor, Windsurf og GitHub Copilot. Det gir et felles språk for kommunikasjon mellom AI og verktøy, på samme måte som HTTP gir en felles protokoll for nettkommunikasjon.

Hvis AI-assistenten er hjernen, er MCP-serveren nervesystemet som kobler den til utviklerverktøyet.

Hvordan virker det? #

MCP opererer gjennom en klient-server-arkitektur med tre komponenter:

• MCP-verten er applikasjonen utvikleren jobber i, en IDE som VS Code, Cursor eller Windsurf, eller en AI-assistent som Claude. Verten administrerer tilkoblinger til MCP-servere og kontrollerer hva modellen har tilgang til.
• MCP-klienten befinner seg inne i verten og opprettholder en én-til-én-forbindelse med hver MCP-server. Den oversetter modellforespørsler til strukturerte verktøykall og returnerer resultater til modellen.
• MCP-serveren er broen til ekstern kapasitet. Den eksponerer verktøy, ressurser og ledetekster som modellen kan aktivere. En MCP-server kan koble seg til et filsystem, et GitHub-arkiv, en database, en CI/CD plattform eller en sikkerhetsskanner. Hvert verktøykall modellen foretar går gjennom MCP-serveren, som kjører det og returnerer resultatet.

Når en utvikler ber en AI-assistent om å skanne et prosjekt, fikse en sårbarhet eller installere en avhengighet, utfører ikke modellen disse handlingene direkte. Den sender en strukturert forespørsel til den relevante MCP-serveren, som utfører handlingen ved hjelp av autoriserte lokale verktøy og returnerer resultatet.

MCP vs. tradisjonelle AI-assistenter: Hva har endret seg? #

Før MCP var AI-kodingsassistenter fundamentalt passive. De kunne lese kode du limte inn i chatten og foreslå endringer, men de kunne ikke handle direkte på miljøet ditt. MCP endrer den modellen fullstendig.

Forskjellen er viktig for sikkerheten fordi den endrer hva en AI-assistent kan oppnå. En tradisjonell assistent som gir dårlige råd koster deg en kodegjennomgangssyklus. En MCP-aktivert assistent som utfører en dårlig handling (installerer en ondsinnet avhengighet, kjører et kompromittert byggeskript eller videresender legitimasjon til et eksternt endepunkt) koster deg en hendelse.

MCP gjør AI-assistenter om fra rådgivere til operatører. Dette skiftet krever de samme sikkerhetskontrollene du bruker for alle operatører med tilgang til infrastrukturen din.

Hva er en MCP-server? #

En MCP server er en lettvektsprosess som eksponerer muligheter til MCP-kompatible AI-klienter. Den definerer et sett med verktøy (diskrete handlinger modellen kan aktivere) sammen med ressurser modellen kan lese og maler den kan bruke.
MCP-servere finnes for et bredt spekter av integrasjoner: filsystemtilgang, GitHub, Slack, databaser, sikkerhetsskannere og CI/CD plattformer. Utviklere kan kjøre MCP-servere lokalt, innenfor organisasjonens infrastruktur, eller koble til tredjeparts hostede MCP-servere levert av eksterne leverandører.
Det er i den siste kategorien at sikkerhetsrisikoen blir konkret. En tredjeparts MCP-server er en ekstern prosess med tilgang til utviklerens miljø. Forskning viser at 5.5 % av offentlige MCP-servere har verktøyforgiftningsfeil og 43 % har sårbarheter for kommandoinjeksjon, noe som betyr at en betydelig andel av offentlig tilgjengelige MCP-servere kan utnyttes som våpen for å manipulere AI-atferd, eksfiltrere data eller utføre uautoriserte kommandoer.

MCP-sikkerhetsrisikoer: Hva DevSecOps-team trenger å vite #

MCP introduserer en ny angrepsflate som tradisjonelle AppSec-verktøy ikke var bygget for å dekke. De viktigste risikoene er:

Shadow MCP-servere. Utviklere konfigurerer MCP-servere lokalt uten formell godkjenning eller styring, noe som skaper et lagerhull. Sikkerhetsteam kan ikke beskytte det de ikke kan se.

Verktøyforgiftning. En ondsinnet MCP-server eksponerer verktøy som ser ut til å være legitime, men som utfører skadelige handlinger når de kalles av modellen. Fordi modellen stoler på verktøydefinisjonene den mottar, kan den kalle et forgiftet verktøy uten noen synlig indikasjon på at noe er galt.

Rask injeksjon via MCP. Skadelig innhold i filer, dokumenter eller API-svar kan injisere instruksjoner i modellens kontekst og manipulere dens oppførsel. En MCP-server som leser eksternt innhold og sender det til modellen uten sanering er en direkte promptinjeksjonsvektor.

Avhengighetsmanipulering. MCP-servere som administrerer pakkeinstallasjon eller avhengighetsløsning kan bli kompromittert for å installere skadelige pakker. Når en AI-agent installerer en avhengighet autonomt gjennom en MCP-server, er det ingen menneskelig gransker mellom den skadelige pakken og den pipeline.

Eksponering av legitimasjon. MCP-servere håndterer ofte autentiseringstokener, API-nøkler og miljøvariabler. En usikker MCP-konfigurasjon kan eksponere disse påloggingsinformasjonene gjennom modellens kontekst eller gjennom logger.

Uautorisert verktøykjøring. Uten strenge tillatelseslister kan en MCP-aktivert assistent aktivere verktøy som overskrider det tiltenkte omfanget, endre produksjonsinfrastruktur, få tilgang til sensitive arkiver eller foreta API-kall til eksterne tjenester.

Beste praksis for sikkerhet #

Sikring av MCP krever at alle MCP-servere behandles som en privilegert integrasjon, ikke en bekvemmelighet for utviklere.

• Blokker ondsinnede avhengigheter på endepunktet. Når en MCP-aktivert agent installerer en avhengighet, bør installasjonen avlyttes og skannes før kjøring. Signaturbasert deteksjon er ikke tilstrekkelig; ondsinnede pakker som er rettet mot AI-verktøy publiseres raskere enn signaturer kan spore dem.

• Lagre alle MCP-servere. Vit hvilke MCP-servere som er konfigurert på tvers av utviklermiljøene dine, lokalt, i din CI/CD pipelines, og i IDE-konfigurasjonene dine. Skygge-MCP er det samme problemet som skygge-IT, med direkte tilgang til verktøyene dine.

• Håndhev en MCP-tillatelsesliste. Bare godkjente MCP-servere skal tillates å kjøre. Enhver ikke-godkjent server som prøver å koble til, skal blokkeres ved endepunktet før den kan samhandle med modellen.

• Bruk minste privilegium på MCP-verktøydefinisjoner. Hver MCP-server skal kun eksponere verktøyene som kreves for den spesifikke funksjonen. En fillesende server har ingen rett til å eksponere pakkeinstallasjonsfunksjoner.

• Valider og rengjør innhold som sendes gjennom MCP. Alt eksternt innhold (filer, API-svar, databaseresultater) som går gjennom en MCP-server og inn i modellens kontekst, er en potensiell promptinjeksjonsvektor. Behandle det som upålitelig input.

• Overvåk MCP-interaksjoner under kjøretid. Logg alle verktøykall modellen foretar via MCP-servere. Uregelmessige mønstre (uventede verktøykall, utgående tilkoblinger fra byggemiljøer, verktøykall utenfor normal arbeidstid) er tidlige indikatorer på kompromittering.

Sikkerhetshendelser i den virkelige verden #

MCP-sikkerhet er ikke teoretisk. Tidlig i 2026 dokumenterte forskning fra Queen's University at MCP-stabler har en 92 % sannsynlighet for utnyttelse når flere programtillegg kombineres. PromptMink-kampanjen (tilskrevet den nordkoreanske statssponsede gruppen Famous Chollima) utviklet spesielt ondsinnede npm-pakker for å lure AI-kodingsagenter som opererer gjennom MCP-lignende grensesnitt til å installere skadelig programvare som stjeler legitimasjon. Pakkene ble designet for å se legitime ut for AI-agenter, selv om en menneskelig anmelder ville ha flagget dem.

I juni 2026, Xygeni bekreftet klyngene ollama-helpers og openai-agents-helpers (over 35 kombinerte versjoner publisert i koordinerte bølger) som er direkte rettet mot pakker som brukes i agentutviklingsarbeidsflyter der MCP-tilkoblinger er vanlige. Når en AI-agent installerer en avhengighet autonomt gjennom en MCP-server, er det ingen menneskelig gransker mellom den skadelige pakken og kjøringen.

Hva er MCP i sammenheng med AI-forsyningskjedesikkerhet? #

MCP befinner seg i skjæringspunktet mellom AI-sikkerhet og software supply chain securityDet er laget som kobler AI-modeller til verktøyene, databasene og infrastrukturen som definerer det moderne SDLC, noe som gjør det til det kraftigste integrasjonspunktet og den mest eksponerte angrepsflaten i AI-native utvikling.

Tradisjonell AppSec stopper ved depotet. EDR overvåker operativsystemet. Ingen av dem ble bygget for å forstå MCP-servere, verktøykall eller AI-mediert avhengighetsinstallasjon. Gapet mellom dem er akkurat der MCP-baserte angrep havner.

Sikring av MCP krever innsikt i hvilke MCP-servere som kjører, hvilke verktøy de eksponerer, hva modellen kaller, og om avhengighetene og filene som håndteres har blitt validert. Det vil si AI-lagerbeholdning, atferdsovervåking og sikkerhet i forsyningskjeden kombinert til ett enkelt problem.

Sikring av MCP med Xygeni
#

MCP-sikkerhet krever mer enn policydokumenter og sjekklister for beste praksis. Det krever kontinuerlig oversikt over hvilke MCP-servere som kjører på tvers av utviklermiljøene dine, atferdsovervåking av hvert verktøykall modellen foretar, og muligheten til å blokkere ondsinnede avhengigheter ved endepunktet før de kjøres, før en signatur finnes. Å forstå hva Model Context Protocol er er nøkkelen.

Xygenis AI-sikkerhetsplattform dekker hele MCP-angrepsflaten: inventariserer alle MCP-servere gjennom AI-SPM, oppdager verktøyforgiftning, umiddelbar injeksjon og usikre MCP-konfigurasjoner gjennom AI-sikkerhetsskanning i tråd med OWASP MCP Top 10, og håndhever policy ved utviklerens endepunkt gjennom Shield, blokkerer ikke-godkjente MCP-servere og ondsinnede avhengigheter før de når pipeline.

Hvis teamene dine kjører AI-kodingsassistenter, er MCP-laget allerede en del av angrepsflaten. Spørsmålet er om du kan se det.

FAQ #