Denetim, MCP sunucularının yüzde 65'inde kimlik doğrulama bulunmadığını ortaya koydu; MCPGrade güvenlik puanlıyor

Denetlenen MCP uç noktalarının üçte ikisi kimliği doğrulanmamış çağrıları kabul ediyor

Bir güvenlik denetimi, Model Context Protocol altyapısı işleten herkes için endişe verici bir rakamı gün yüzüne çıkardı. SentinelReign'in kurucusu ve CEO'su Syed Zada Abrar, dev.to üzerinde yayımladığı yazısında, 5.308 herkese açık MCP HTTP/SSE uç noktasının incelendiği bir araştırmanın, bunların 3.450'den fazlasının — yaklaşık yüzde 65'inin — kimliklerini hiç kanıtlamak zorunda kalmayan çağrıyanlar için tool eylemleri gerçekleştireceğini bildiriyor. Araştırma SentinelReign çatısı altında yürütüldü ve yazı, MCP'nin AI modellerini harici araçlara ve verilere bağlamanın varsayılan yolu hâline geldiğini belirtiyor.

Protokolün yükselişi hızlı oldu ve rakamlar, operasyonel disiplinin bu hıza ayak uyduramadığına işaret ediyor. MCP tool'ları zararsız sorgulamalardan dosya işlemlerine ve giden API çağrılarına kadar uzanabildiği için, aktarım katmanında kimlik doğrulaması olmayan bir uç nokta, sunucunun temas ettiği tüm sistemlere açık bir kumanda koluna dönüşüyor.

MCPGrade: Dört ağırlıklı alana yayılmış 39 kontrol

Denetimin yanı sıra Abrar, şu anda 1.4.0 sürümünde bulunan MCPGrade'i tanıtıyor. Araç, bir MCP sunucusunu dört alana dağıtılmış 39 ayrı kontrol üzerinden değerlendiriyor ve her alan nihai puanda belirli bir ağırlığa sahip:

• Aktarım Katmanı Kimlik Doğrulama — 10 kontrol, puanın yüzde 35'i
• Tool Kapsamı ve Yetkilendirme — 12 kontrol, yüzde 30
• Girdi Doğrulama ve Injection — 9 kontrol, yüzde 20
• Hız Sınırlandırma ve Denetim Günlükleri — 8 kontrol, yüzde 15

En ağır ağırlık, tam da denetimin ortaya çıkardığı zayıflığa denk geliyor: başka her şey olmadan önce bağlanan tarafın kimliğinin doğrulanması. Yazıya göre, A'dan F'ye harf notları veren barındırılmış bir tarayıcı, Andrax Pentester projesi üzerinden erişilebilir.

Her alanın yakalaması amaçlanan sorunlar

Bu dört kategori, bir MCP dağıtımının ters gidebileceği başlıca yollarla örtüşüyor. Aktarım katmanı kimlik doğrulaması, rastgele tarafların sunucuya hiç erişip erişemeyeceğini belirler. Tool kapsamı ve yetkilendirme, mevcut tool'ların ve dokundukları verilerin, belirli bir istemcinin gerçekte ihtiyaç duyduğuyla sınırlı olup olmadığını sorgular. Girdi doğrulama, injection riskini ele alır; çünkü tool parametreleri, bir model kullanıcı kontrollü metni aşağı doğru aktardığında prompt ve komut injection için doğal bir kanaldır. En hafif ağırlığa sahip olan hız sınırlandırma ve denetim günlükleri ise kötüye kullanımın kontrol altına alınmasını ve bir olay sonrası gerçekleşenlerin yeniden kurulabilmesini kapsar.

Rakamları bağlamıyla okuyun

Bulgular, kişisel bir blog yazısı olarak yayımlanan tek bir satıcının araştırmasından geliyor ve metodoloji — 5.308 uç noktanın nasıl keşfedildiği ya da neyin herkese açık sayıldığı — ayrıntılı olarak açıklanmamış. Yüzde 65 rakamı, sektör genelinde bir sayım değil, tek bir ekibin ölçümü olarak değerlendirilmeli. Ayrıca açığı bildiren kuruluşun, bu açığı kapatmak için tasarlanmış puanlama aracını yayımlayan kuruluşla aynı olduğunu belirtmek gerek; bu, güvenlik araştırmalarında yaygın bir örüntü olsa da iddiaları tartarken akılda tutulmaya değer.

Neden önemli

MCP sunucuları, dil modelleri ile bu modellerin üzerinde işlem yapabileceği sistemlerin kesişim noktasında yer alır ve bu da onları alışılmadık derecede sonuç doğuran bir saldırı yüzeyi hâline getirir: yanlış yapılandırılmış bir uç nokta yalnızca bir veri ifşası değil, gerçek dünyadaki eylemler için uzaktan tetikleyicidir. Herkese açık uç noktaların üçte ikisi gerçekten kimliği doğrulanmamış tool çağrılarını kabul ediyorsa, ortaya çıkan ajan ekosistemi herkesin çalıştırabileceği bir altyapı üzerine inşa ediliyor demektir. MCPGrade gibi bir puanlama şeması sorunu tek başına çözmeyecek, ancak belirsiz bir soruyu — sunucum güvenli mi? — denetimin en büyük deliğin bulunduğunu düşündüğü aktarım katmanıyla başlayan somut ve önceliklendirilmiş bir kontrol listesine dönüştürüyor.