MCP екосистемата нарасна бързо — сигурността не
Model Context Protocol беше пуснат в края на 2024 г. За по-малко от 18 месеца той се превърна в стандартния начин за свързване на AI инструменти с външни системи. До март 2026 г. екосистемата обхваща конектори за бази данни, файлови сървъри, GitHub мостове, Slack клиенти, инструменти за имейл и стотици специализирани сървъри.
Кривата на растеж е стръмна. Картината за сигурността — не.
До март 2026 г. 8 000+ MCP сървъра са в публичния интернет. Изследователи са открили 492 с абсолютно никаква автентикация — нито API ключ, нито OAuth, нито IP филтър. Всеки HTTP клиент може да ги извика. 36,7% от изследваните сървъри са отворени за SSRF (Server-Side Request Forgery). Това означава, че атакуващ, контролиращ вход за инструмент, може да достигне до вътрешни мрежови ресурси.
За същия период са подадени 30+ CVE за 60 дни. Тази скорост показва колко нова е екосистемата и колко изследователско внимание получава.
Защо протоколът създава риск за личните данни
MCP дава на AI асистентите способността да действат върху данни. Затова е и риск за личните данни.
Когато разработчик използва Cursor или Claude Desktop с конектор за база данни, ИИ пише SQL от обикновен текст. Тези заявки връщат реални редове — имена, имейли, данни за плащания или други лични данни. Тези данни преминават през верига:
- Сървър на базата данни → прозорец на контекста на AI асистента
- Прозорец на контекста → журналните системи на доставчика на модела
- История на разговора → локалната машина на разработчика
- Сесии за отстраняване на грешки → други AI инструменти, когато разработчикът поставя контекст
Нито една от тези стъпки не е пробив. Така работи системата. Но личните данни завършват на множество места, неизградени да ги съхраняват, често без криптиране между сървъра и AI клиента.
CVE-2026-25253 (CVSS 8.8), публикуван през февруари 2026 г., показа един вектор на атака. Злонамерен крайна точка може да инжектира скрити инструкции в отговорите си. Тези инструкции са казали на свързания ИИ да извлича данни от другите активни инструменти. Разработчик, използващ лоша общностна крайна точка до собствения си конектор за база данни, би могъл да изтече цялата база данни.
492-та сървъра без автентикация
492-та открити сървъра са различен проблем от CVE-2026-25253. Те не са хакнати. Конфигурирани са погрешно.
Повечето са предназначени да работят локално. Някой ги е изложил чрез пренасочване на портове или облачно внедряване без контроли за достъп.
Какво обикновено разкриват тези сървъри:
- Инструменти за файловата система с достъп за четене до домашни папки
- Конектори за бази данни с реални идентификационни данни в конфигурацията
- Имейл инструменти, свързани с реални входящи кутии
- Инструменти за изпълнение на код — произволен код, без автентикация, без ограничения
Разработчиците почти сигурно не са имали намерение да ги изложат. Но Cursor и Claude Desktop се свързват към всеки URL в конфигурацията. Няма вградена проверка дали хостът е локален или публичен.
MCP решението на anonym.legal
Структурната поправка за риска от лични данни в тръбопроводи от инструменти е анонимизиране на данните преди те да достигнат до извикване, изпращащо ги до LLM. Това е, което предоставя MCP сървърът на anonym.legal.
Той излага 7 инструмента:
| Инструмент | Цел |
|---|---|
analyze_text | Разпознаване на обекти с лични данни и връщане на техните позиции и типове |
anonymize_text | Изчистване или псевдонимизиране на разпознатите лични данни |
deanonymize_text | Обръщане на псевдонимизирането с вашия ключ за криптиране |
anonymize_batch | Обработване на множество текстове в едно извикване |
get_supported_entities | Изброяване на всички 285+ типа обекти за даден език |
get_supported_languages | Изброяване на всички 48 поддържани езика |
health_check | Проверка на свързаността |
Когато AI асистент разполага с конфигурирани и сървъра на anonym.legal, и конектор за база данни, разработчикът може да инструктира: "Преди да показваш клиентски данни, извикай anonymize_text върху резултата." ИИ управлява оркестрацията. Личните данни никога не достигат до видимия изход или историята на разговора в идентифицируем вид.
Настройка в Cursor IDE
За добавяне на сървъра на anonym.legal към Cursor:
// .cursor/mcp.json
{
"mcpServers": {
"anonym-legal": {
"url": "https://anonym.legal/mcp",
"transport": "sse",
"headers": {
"Authorization": "Bearer YOUR_API_KEY"
}
}
}
}
След конфигурирането попитайте Cursor: "Анализирай този тикет за поддръжка за лични данни, преди да го поставя в тракера." Cursor извиква analyze_text, връща списъка с обекти и вие решавате дали да анонимизирате преди поставянето.
Настройка в Claude Desktop
// claude_desktop_config.json
{
"mcpServers": {
"anonym-legal": {
"command": "npx",
"args": ["-y", "@anonym-legal/mcp-server"],
"env": {
"ANONYM_API_KEY": "YOUR_API_KEY"
}
}
}
}
С тази конфигурация Claude Desktop може да анонимизира всеки текст, преди да го включи в извиквания на инструменти, изпратени до други сървъри. Анонимизацията се изпълнява в сесията ви. Личните данни никога не достигат до сървърите на Anthropic в идентифицируем вид.
Укрепване на вашата конфигурация
Освен използването на anonym.legal, приложете и тези стъпки. Вижте също нашия преглед на сигурността и център за съответствие.
Одитирайте списъка с инструменти. Проверете всеки запис в конфигурацията. За всеки задайте: доверявате ли се на оператора? Знаете ли до какви данни може да достигне?
Предпочитайте локално пред отдалечено. Локалните сървъри работят чрез stdio. Те не създават мрежова изложеност. Използвайте отдалечени сървъри само когато не съществува локална алтернатива.
Проверете автентикацията. Всеки отдалечен сървър трябва да изисква API ключ или OAuth токен. Ако не го прави, не го използвайте с реални потребителски данни.
Разделете разработката от производството. Поддържайте отделни конфигурации за разработка (тестови данни, без лични данни) и за всеки поток, засягащ реални потребители.
Активирайте журналирането на одита. Ако поддържа журнали, включете ги. Знайте какви данни са преминали през всяко извикване.
Вижте нашата страница за MCP функции за пълен списък на типове обекти и езици.
30-те+ CVE за 60 дни показват, че протоколът е под активен контрол. Ще се появят нови уязвимости. Но основната защита — анонимизиране преди данните да достигнат до извикване на LLM — работи срещу всеки конкретен CVE, който може да дойде.
Конфигурирайте сървъра на anonym.legal в Cursor
anonym.legal обработва анонимизирането на лични данни от страна на сървъра, използвайки вашия ключ за криптиране. Псевдонимизираните данни са обратими само с този ключ. Публикувано от anonym.legal, сертифицирано по ISO 27001.
Източници
- Данни за излагане на MCP сървъри от Shodan, март 2026 г. — 8 000+ сървъра, 492 без автентикация
- CVE-2026-25253, CVSS 8.8, инжектиране между сървъри чрез Model Context Protocol
- Данни за SSRF: сканиране на публично достъпни крайни точки, март 2026 г.
- Спецификация на Anthropic MCP v1.2, раздел за съображения за сигурност