MCP-агенты: протокол упростил интеграцию, но открыл новые векторы атак

MCP (Model Context Protocol) дал разработчикам единый способ подключать AI-агентов к внешним сервисам, но вместе с унификацией пришла и новая проблема: каждый MCP-сервер становится точкой доверия и потенциальной дырой в безопасности. Автор статьи показывает, как атаки вроде tool poisoning и indirect prompt injection работают на уровне MCP, почему LLM не видят разницы между данными и инструкциями, и как даже безобидные описания инструментов могут привести к выполнению произвольных команд.

В материале описаны реальные атаки в экосистеме MCP, а также индустриальные подходы к защите через gateways, sandboxing и OAuth-архитектуры. В практической части автор запускает уязвимый MCP-стенд и проверяет детекцию подозрительных вызовов с помощью своего сканера BarkingDog — результаты наглядно показывают, насколько легко обойти встроенные защиты.

Проблема особенно остра для агентов, работающих с документами, кодом и веб-контентом — любой внешний источник может нести скрытую инструкцию. Пока индустрия ищет баланс между удобством интеграции и безопасностью, разработчикам стоит пересмотреть модель доверия к каждому MCP-серверу.