MCP güvenlik rehberi protokolü tek değil dört güven sınırı olarak çerçeveliyor

MCP dağıtımlarındaki sorun

Model Context Protocol (MCP), yapay zeka uygulamalarını araçlara ve veriye bağlayan standart altyapı haline geldi; ancak dev.to'da yayımlanan bir güvenlik rehberine göre, bir kurumun teknoloji yığınında en az gözden geçirilen güven sınırı olma özelliğini taşıyor. Rehber, protokol için bir tehdit modeli ortaya koyuyor ve bunu transport, sunucu, araç yüzeyi ve agent'ın kendisini kapsayan sağlamlaştırma kontrol listeleriyle eşleştiriyor.

MCP, bir host'un — IDE'nin, sohbet istemcisinin veya agent runtime'ının — MCP sunucularının açığa çıkardığı yetenekleri keşfetmesine ve çağırmasına olanak tanıyor; bu sunucular neredeyse her şeyi sarabilir: bir veritabanı istemcisi, bir Kubernetes API'si, bir tarayıcı, bir dosya sistemi. Host bu araçları modele duyurur ve modelin ne zaman çağıracağına karar verir. Rehberin temel gözlemi, bu son adımın — çağırma kararını olasılıksal bir bileşene devretmenin — güvenlik riskinin yoğunlaştığı yer olduğudur.

Tek yerine dört sınır

Rehberin çerçevesi şöyle: MCP tek bir güven sınırı değil, dört tanedir:

• Transport, host ile sunucu arasında: keşif ve araç çağrıları bu sınırdan geçer; riskler arasında token hırsızlığı, replay, sunucu URL'leri üzerinden SSRF ve istemcilerin otomatik olarak güvendiği keşif uç noktalarında değişiklik yapılması yer alır.
• Araç, model ile yetenek arasında: aşırı geniş araç kapsamları, modeli yönlendiren zehirli araç açıklamaları ve araç çıktısının sterilize edilmeden shell komutlarına veya SQL'e aktarıldığı durumlerde parametre enjeksiyonu.
• Veri, erişim ile bağlam arasında: bir aracın döndürdüğü her şey, meşru talimatlarla aynı görünür yetkiyle modelin bağlamına girer; dolayısıyla saldırgan kontrollü içerik döndüren bir web arama aracı, dolaylı prompt injection için bir teslim kanalına dönüşür.
• Agent, planlama ile yan etkiler arasında: tek başına zararsız izinleri zincirleyen otonom döngüler — rehberin örneği e-postayı oku, özetle, sonra yanıt gönder — hiçbir tekil araç incelemesinin ortaya çıkaramayacağı bileşik risk yaratır.

Yerel stdio sunucuları özel attention alıyor: kullanıcının işletim sistemi izinlerini devralırlar; dolayısıyla tam geliştirici kimlik bilgileriyle çalışan bir dosya saran sunucu, model yanlış yönlendirilebilirse hazır bir veri sızdırma yoluna eşdeğerdir.

En yüksek etkili iyileştirme

Bir kurum yalnızca tek bir şey yapabilecekse, rehbere göre bu, stdio sunucularındaki ortam kimlik bilgilerini ortadan kaldırmak olmalıdır. Her sunucuyu kişisel bir API anahtarı yerine kapsamlı, kısa ömürlü tokenlarla ayrı bir düşük ayrıcalıklı işletim sistemi kimliği olarak çalıştırmak, tek hamleyle yıkıcı sonuçların çoğunu ortadan kaldırır. Yazar, MCP'nin yapısal olarak güvensiz olup olmadığı sorusunu olumsuz yanıtlıyor: protokolün kendisi sorun değil; sunuculara ortam yetkisi veren dağıtımlar sorun.

Sağlamlaştırma kontrol listeleri

Katman katman öneriler şunlardır:

• Transport: uzak sunucu kimliklerini TLS ve sunucu allowlist'leriyle sabitleyin, kullanıcı girişinden gelen çıplak URL'lere asla güvenmeyin, stdio sunucularını düşük ayrıcalıklı bir işletim sistemi kullanıcısı altında çalıştırın ve Initialize el sıkışmalarını doğrulayıp günlüğe kaydedin.
• Sunucu: derleme sırasında istemci ortamına göre yalnızca allowlist'teki araçları etkinleştirin, araç yürütücülerini açık argv, zaman aşımı ve kaynak limitleriyle sandbox'layın, her çağrıyı hız limitine tabi tutup denetleyin ve araç açıklamalarını diff'leri incelenen üretim kodu gibi değerlendirin.
• Veri: web'den veya e-postadan gelen araç çıktısını bağlamda güvenilmez olarak işaretleyin, URL'leri sunucu tarafında loopback ve metadata IP'lerini engelleyen bir allowlist'e göre filtreleyip yeniden alın ve gizli bilgilerin kendisi yerine onlara referanslar döndürün.
• Agent: oturum başına değil görev başına en az ayrıcalık tanıyın, tek adımlık eylemler için tek kullanımlık kimlik bilgileri üretin, gönderme, silme, ödeme veya dağıtım gibi geri alınamaz eylemler için insan onayı isteyin, araç zinciri derinliğini sınırlayın ve çağrıların yanında tam akıl yürütme izlerini günlüğe kaydedin.

Rehber ayrıca açıklama zehirlenmesini sıradan prompt injection'dan ayırıyor: injection, modelin okuduğu veri yoluyla gelirken, açıklama zehirlenmesi araç metadata'sında — istemcinin bir aracı nasıl çağıracağına karar verirken zaten güvendiği dokümantasyonda — yaşar; açıklamaların bu yüzden kod tarzı inceleme gerektirmesi bundandır.

20 dakikalık denetim

Bir başlangıç noktası isteyen ekipler için rehber kısa bir öz denetim öneriyor: kullanımdaki her MCP sunucusunun envanterini çıkarın, her birini hangi işletim sistemi kullanıcısının çalıştırdığını ve hangi tokenlara sahip olduğunu kaydedin, ardından her aracın olanak verdiği en kötü tek çağrıyı ve en kötü iki çağrılık zinciri düşünün. Yazar, bu alıştırmayı tamamlayan kurumların çoğunun en az bir, genellikle bir hackathon sırasında eklenmiş ve bir daha gözden geçirilmemiş, geliştirici düzeyinde bulut kimlik bilgileriyle çalışan stdio sunucusu bulduğunu bildiriyor.

İleriye dönük olarak rehber, üçüncü taraf köken için standartlaştırılmış araç imzalama, araç seti başına yetenek kapsamlı OAuth akışları ve yayıncı doğrulamalı resmi registry'ler öngörüyor — paket registry'lerinin izlediği aynı olgunlaşma yolunu.

Neden önemli

MCP, yapay zeka uygulamaları için varsayılan bağlantı yöntemi haline geliyor; bu da dağıtım hatalarının hızla birikeceği anlamına geliyor. Rehberin değeri, agent güvenliğine dair belirsiz bir endişeyi denetlenebilir bir şeye dönüştürmesinde: adlandırılmış sınırlar, katman başına somut önlemler ve kısa bir envanter alıştırması. Ayrıca güvenlik ekipleri için kapsamı netleştiriyor — mevcut web ve API incelemeleri zaten transport'u kapsıyor; araç açıklaması incelemesi, araç çıktısı yoluyla dolaylı injection ve zincirlenmiş etki analizi ise ürün değil yöntem boşluklarıdır. İmzalama ve doğrulanmış registry'ler gelene kadar, rehberin önerdiği işletim varsayımı şu: her MCP sunucusu, çağırma kararları okuduğu veri aracılığıyla manipüle edilebilecek bir bileşen tarafından verilen, yüksek ayrıcalıklı bir uç noktadır.