2024'te MCP (Model Context Protocol), yapay zekânın USB-C'si olma hedefiyle yola çıktı: modelleri, ajanları ve geliştirme ortamlarını araçlara ve verilere bağlayan tek bir standart. Protokol sözünü tuttu. Binlerce geliştirici sunucu yazdı, şirketler de bunları ajan iş akışlarına bağladı.
Ancak çevresindeki ekosistem aynı başarıyı gösteremedi. Bu yılın başlarında OX Security ekibimiz, 150 milyondan fazla indirilen Anthropic'in MCP kaynak kodunda kritik açıklar izlemişti. Bu kez insanların gerçekte ne kurduğuna baktık: en popüler MCP pazar yerlerinde topluluk tarafından yayımlanan sunucuları inceledik. Ne bir koruma mekanizması ne de bir inceleme bulduk. Güvenlik bir politika değil, sadece bir tavsiye.
Kapısında güvenlik görevlisi olmayan pazar yeri
2012'de Google, Android uygulamalarını kullanıcılara ulaşmadan önce zararlı yazılıma karşı tarayan otomatik bir sistem olan Bouncer'ı çalıştırıyordu. Mükemmel değildi: araştırmacılar zararlı yazılımları onun yanından sızdırmayı başardı. Ama en azından vardı. MCP pazar yerlerinde bunun bir karşılığı yok. İsteyen herkes bir sunucu yazıp yükleyebilir ve yayımlayabilir.
İnceleme yapılsa bile açık kapanmaz. Geçen yıl RSAC ve OWASP'ta, geliştiricilerin bir kod deposunda gördüklerine nasıl aşırı güvendiğini anlatan "GitHub'a Güveniyoruz: Hacklenmenin 10 Yolu" başlıklı bir sunum yaptık. MCP aynı hatayı tekrarlıyor. Uzak MCP sunucuları, herkese açık kod deposunda görünenden tamamen farklı bir arka uç kodu çalıştırabilir. Kod incelemesi size geliştiricinin ne yayımladığını söyler, sunucunun ne çalıştırdığını değil.
Verileriniz nereye gidiyor?
Son on yılda şirketler, genel bulutu güvenle benimsemek için sıkı bir yönetişim kurdu: veri yerleşimi kuralları, Sıfır Güven sınırları, ayrıntılı kimlik ve erişim yönetimi ve tedarik zinciri denetimleri. MCP bağlantıları ise çoğu zaman bunların tamamının dışında kalıyor.
Bu açığı ölçmek için 5 MCP kayıt dizinindeki 15 bin 465 herkese açık MCP sunucusunu analiz ettik; yinelenenleri ayıkladığımızda 5 bin 95 benzersiz alan adı kaldı.
ABD dışında barındırılanlar: Alan adlarının yüzde 15,6'sı ABD dışındaki altyapılara yönleniyor; bunlar arasında Çin'de 19, Rusya'da 18 sunucu var. Bu sunuculara bağlanan bir ajan, verileri güvenlik ekibinin hiç onaylamadığı yargı bölgelerine gönderebilir.
Kişisel makinelerde çalışanlar: Yüzde 0,45'i trafiği tüketiciye yönelik tünel hizmetleri üzerinden, çoğunlukla ücretsiz ngrok üzerinden geçiriyor. Herkese açık listelenen bu sunucular kişisel bilgisayarlardan ve büyük olasılıkla ev ağlarından çalışıyor.
Sahipsiz alan adları: Yüzde 2,3'ü artık çözümlenmiyor. Altısı, herkesin yılda 4 ila 12 dolara kaydedebileceği süresi dolmuş alan adlarında duruyor. Yeni sahip, yerleşik bir sunucu kimliğini ve onu hâlâ çağıracak şekilde ayarlanmış tüm ajanlardan gelen istekleri devralır.
Konum da değişebilir. Bir işletmeci sunucuyu temiz bir ABD IP adresinde başlatıp trafiği daha sonra başka bir yere yönlendirebilir.
Raporun tamamı metodolojimizi, bir komut enjeksiyonu (prompt injection) kanıtını ve her bulgunun arkasındaki tehdit senaryolarını kapsıyor: "15 bin 465 MCP Sunucusu, 0 Yönetişim".
Saldırı yüzeyi güvenin kendisi
Sorun protokolde değil. Sorun, ona teslim ettiğimiz güvende. Pazar yerleri denetim, kod imzalama ve kaynak doğrulaması ekleyene kadar bu işi şirketlerin kendisi yapmak zorunda.
Dışarısı hâlâ bir vahşi orman. Avın siz olmadığınızdan emin olun.
Daha ileri gitmek ister misiniz? 13 Ekim'de (12.00 ET) düzenlenecek "Yapay Zekâ Saldırı Yüzeyi Zaten Bulutunuzda" başlıklı canlı web seminerimize katılın. Latio'nun kurucusu ve CEO'su James Berthoty ile OX Saha CTO'su Chris Lindsey, yapay zekânın bulut tehditlerini nasıl yeniden şekillendirdiğini ve güvenlik ekiplerinin buna karşı ne yapması gerektiğini ele alacak.
Not: Bu yazı, OX Security Güvenlik Araştırma Ekibi Lideri Moshe Siman Tov Bustan tarafından kaleme alınmıştır.
