MCP serveri otvaraju novi rizik za poslovne tajne
Model Context Protocol (MCP), otvoreni standard koji je predstavio Anthropic, povezuje AI asistente sa spoljnim alatima i podacima. MCP server, posrednik između agenta i poslovnog sistema, zato često koristi API tokene, ključeve servisnih naloga i druge tajne. Problem je što kompromitovan kredencijal ne mora samo da otkrije podatke: može napadaču dati mogućnost da izvršava radnje za koje je agent ovlašćen.
Zašto je MCP server posebno osetljiva tačka
MCP omogućava agentu da preuzme zapis iz baze, otvori datoteku ili pozove API nad živim sistemom. Da bi to uradio, serveru su potrebni identiteti koji nisu ljudski korisnici, poput API ključeva i tokena. Tako AI agent prelazi iz uloge sistema koji daje odgovor u ulogu aktivnog identiteta sa pristupom poslovnim resursima.
Najjednostavniji propust je čuvanje kredencijala u tekstualnim konfiguracionim datotekama. Takve datoteke mogu ostati na disku, biti kopirane između računara ili slučajno završiti u Git repozitorijumu. Kada nema centralnog skladišta tajni, isti tokeni se dalje umnožavaju u konfiguracijama i promenljivama okruženja kroz razvoj, testiranje i produkciju, bez potpunog inventara i pravovremene rotacije.
Prompt injection i preširoka ovlašćenja
Napadač ne mora nužno da provali na server. Skrivena uputstva u dokumentu, tiketu podrške ili veb-stranici koju agent obrađuje mogu ga navesti da ih prihvati kao legitimnu komandu. Takav prompt injection može zloupotrebiti dostupne alate ili navesti agenta da otkrije tajne koje treba da štiti.
Rizik raste kada se tokom razvoja MCP serveru dodele široka prava kako bi se izbegle greške autorizacije, a ta prava ostanu i u produkciji. Bez načela najmanjih privilegija, kompromitovanje jednog agenta zahvata znatno više sistema i podataka nego što njegov stvarni zadatak zahteva. O rizicima incidenata povezanih sa AI agentima govori i pregled bezbednosnih događaja koji uključuju agente kroz pregled bezbednosnih događaja koji uključuju agente.
Šta je pokazao slučaj mcp-remote
Rizik postoji i pri povezivanju sa neproverenim MCP serverima. CVE-2025-6514 odnosio se na mcp-remote, OAuth posrednik preuzet više od 400.000 puta koji radi na klijentskoj mašini. Zlonamerni server je mogao da izazove ubacivanje komandi operativnog sistema, što vodi do udaljenog izvršavanja koda i krađe kredencijala dostupnih tom posredniku.
Kontrole za poslovno okruženje
Zaštita počinje izmeštanjem tajni iz izvornog koda, konfiguracija i promenljivih okruženja u centralizovano upravljano skladište. Agenti zatim pribavljaju samo potrebne kredencijale u trenutku korišćenja. Kratkotrajni kredencijali i automatska rotacija smanjuju vreme u kojem procurena tajna može biti iskorišćena.
Svaki agent treba da ima samo ona prava koja su neophodna za njegov zadatak. Za otkrivanje nemaskirane tajne, brisanje zapisa ili pristup produkciji potrebna je izričita ljudska potvrda. Evidencija pristupa i izvršenih radnji omogućava istragu incidenta i proveru usklađenosti, dok inventar svih MCP servera smanjuje rizik od nevidljivih, neupravljanih AI identiteta.
Praktičan zaključak je da MCP sloj treba uključiti u isti režim upravljanja identitetima i tajnama kao i druge produkcione sisteme: vidljivost, minimalna ovlašćenja, kontrolisana upotreba kredencijala i nadzor nad radnjama agenta ograničavaju posledice jednog propusta.