Ekosistem MCP Berkembang Pesat - Keselamatan Tidak
Protokol Konteks Model dilancarkan pada akhir 2024. Dalam masa kurang dari 18 bulan ia menjadi cara standard untuk menyambungkan alat AI ke sistem luar. Menjelang Mac 2026, ekosistem meliputi penyambung pangkalan data, pelayan fail, jambatan GitHub, klien Slack, alat e-mel, dan ratusan pelayan khusus domain.
Kurva pertumbuhan adalah curam. Gambaran keselamatan tidak.
Setakat Mac 2026, 8,000+ pelayan MCP berada di internet awam. Penyelidik menemui 492 tanpa pengesahan sama sekali - tiada kunci API, tiada OAuth, tiada penapis IP. Mana-mana klien HTTP boleh memanggil mereka. 36.7% pelayan yang dipersamplkan terdedah kepada SSRF (Server-Side Request Forgery). Ini bermakna penyerang yang mengawal input alat boleh mencapai sumber rangkaian dalaman.
Dalam tempoh yang sama, 30+ CVE difailkan dalam 60 hari. Kadar itu menunjukkan betapa baharu ekosistem itu dan betapa banyak tumpuan penyelidik yang diterimanya.
Mengapa Protokol Mewujudkan Risiko PII
MCP memberi pembantu AI kuasa untuk bertindak ke atas data. Itulah juga sebabnya ia adalah risiko PII.
Apabila pembangun menggunakan Cursor atau Claude Desktop dengan penyambung pangkalan data, AI menulis SQL daripada teks biasa. Pertanyaan tersebut mengembalikan baris sebenar - nama, e-mel, data pembayaran, atau PII lain. Data itu bergerak melalui rantaian:
- Pelayan pangkalan data - tetingkap konteks pembantu AI
- Tetingkap konteks - sistem log penyedia model
- Sejarah perbualan - mesin tempatan pembangun
- Sesi debug - alat AI lain apabila pembangun menampal konteks
Tiada satu pun daripada langkah ini adalah pelanggaran. Beginilah cara sistem berfungsi. Tetapi PII berakhir di pelbagai tempat yang tidak dibina untuk menyimpannya, sering tanpa penyulitan antara pelayan dan klien AI.
CVE-2026-25253 (CVSS 8.8), diterbitkan pada Februari 2026, menunjukkan satu laluan serangan. Titik akhir berniat jahat boleh menyuntik arahan tersembunyi ke dalam responsnya. Arahan tersebut memberitahu AI yang bersambung untuk menarik data daripada alat aktif lain. Pembangun yang menggunakan titik akhir komuniti buruk di sebelah penyambung pangkalan data mereka sendiri boleh membocorkan keseluruhan pangkalan data.
492 Pelayan Sifar-Auth
492 pelayan terbuka adalah masalah berbeza daripada CVE-2026-25253. Mereka tidak digodam. Mereka disediakan dengan salah.
Kebanyakan dimaksudkan untuk berjalan secara tempatan. Seseorang mendedahkannya melalui pemajuan port atau penggunaan awan tanpa kawalan akses.
Apa yang sering didedahkan pelayan ini:
- Alat sistem fail dengan akses baca ke folder rumah
- Penyambung pangkalan data dengan kelayakan langsung dalam konfigurasi
- Alat e-mel yang terikat pada peti masuk sebenar
- Alat pelaksanaan kod - kod sewenang-wenangnya, tiada auth, tiada had
Pembangun hampir pasti tidak berniat mendedahkan mereka. Tetapi Cursor dan Claude Desktop bersambung ke mana-mana URL dalam konfigurasi. Tiada semakan terbina dalam sama ada hos adalah tempatan atau awam.
Penyelesaian MCP anonym.legal
Pembetulan struktural untuk risiko PII dalam saluran paip alat adalah untuk menganonim data sebelum ia mencapai mana-mana panggilan yang menghantarnya ke LLM. Inilah yang disediakan oleh pelayan MCP anonym.legal.
Ia mendedahkan 7 alat:
| Alat | Tujuan |
|---|---|
analyze_text | Kesan entiti PII dan kembalikan kedudukan dan jenis mereka |
anonymize_text | Kelupas atau pseudonimkan PII yang dikesan |
deanonymize_text | Balikkan pseudonimasi menggunakan kunci penyulitan anda |
anonymize_batch | Proses pelbagai teks dalam satu panggilan |
get_supported_entities | Senaraikan semua 285+ jenis entiti untuk bahasa yang diberikan |
get_supported_languages | Senaraikan semua 48 bahasa yang disokong |
health_check | Sahkan ketersambungan |
Apabila pembantu AI mempunyai pelayan anonym.legal dan penyambung pangkalan data yang dikonfigurasikan, pembangun boleh mengarahkan: "Sebelum menunjukkan sebarang data pelanggan, panggil anonymize_text pada hasilnya." AI mengendalikan orkestrasi. PII tidak pernah sampai ke output yang kelihatan atau sejarah perbualan dalam bentuk yang boleh dikenal pasti.
Persediaan Cursor IDE
Untuk menambah pelayan anonym.legal ke Cursor:
// .cursor/mcp.json
{
"mcpServers": {
"anonym-legal": {
"url": "https://anonym.legal/mcp",
"transport": "sse",
"headers": {
"Authorization": "Bearer YOUR_API_KEY"
}
}
}
}
Setelah dikonfigurasikan, tanya Cursor: "Analisis tiket sokongan ini untuk PII sebelum saya tampalkan ke dalam pelacak." Cursor memanggil analyze_text, mengembalikan senarai entiti, dan anda memutuskan sama ada hendak menganonim sebelum menampal.
Persediaan Claude Desktop
// claude_desktop_config.json
{
"mcpServers": {
"anonym-legal": {
"command": "npx",
"args": ["-y", "@anonym-legal/mcp-server"],
"env": {
"ANONYM_API_KEY": "YOUR_API_KEY"
}
}
}
}
Dengan konfigurasi ini, Claude Desktop boleh menganonim sebarang teks sebelum memasukkannya dalam panggilan alat yang dihantar ke pelayan lain. Anonimasi berjalan dalam sesi anda. PII tidak pernah sampai ke pelayan Anthropic dalam bentuk yang boleh dikenal pasti.
Mengeraskan Persediaan Anda
Selain menggunakan anonym.legal, gunakan langkah-langkah ini. Lihat juga gambaran keselamatan dan pusat pematuhan kami.
Audit senarai alat anda. Semak setiap entri dalam konfigurasi anda. Untuk setiap satu, tanya: adakah anda mempercayai pengendali? Adakah anda tahu data apa yang boleh dicapainya?
Lebih suka tempatan daripada jauh. Pelayan tempatan berjalan melalui stdio. Mereka tidak mewujudkan pendedahan rangkaian. Gunakan pelayan jauh hanya apabila tiada pilihan tempatan.
Semak pengesahan. Setiap pelayan jauh harus memerlukan kunci API atau token OAuth. Jika tidak, jangan gunakannya dengan data pengguna sebenar.
Asingkan dev daripada pengeluaran. Simpan konfigurasi berasingan untuk kerja dev (data ujian, tanpa PII) dan sebarang aliran yang menyentuh pengguna sebenar.
Aktifkan pengelogan audit. Jika ia menyokong log, hidupkannya. Ketahui data apa yang melalui setiap panggilan.
Lihat halaman ciri MCP kami untuk senarai penuh jenis entiti dan bahasa.
30+ CVE dalam 60 hari menunjukkan protokol berada di bawah penelitian aktif. Pepijat baru akan muncul. Tetapi pertahanan teras - anonimkan sebelum data mencapai mana-mana panggilan LLM - berfungsi terhadap mana-mana CVE khusus yang datang seterusnya.
Konfigurasikan pelayan anonym.legal dalam Cursor
anonym.legal memproses anonimasi PII di sebelah pelayan menggunakan kunci penyulitan anda. Data pseudonim boleh dibalikkan hanya dengan kunci tersebut. Diterbitkan oleh anonym.legal, bersijil ISO 27001.
Sumber
- Data pendedahan pelayan MCP Shodan, Mac 2026 - 8,000+ pelayan, 492 sifar-auth
- CVE-2026-25253, CVSS 8.8, suntikan merentas pelayan melalui Model Context Protocol
- Data SSRF: imbasan penyelidikan keselamatan titik akhir yang boleh diakses secara awam, Mac 2026
- Spesifikasi MCP Anthropic v1.2, bahagian pertimbangan keselamatan