MCP Ekosistemi Patladı — Güvenlik Ayak Uyduramadı
Anthopic'in 2024 sonunda tanıttığı Model Context Protocol, 18 aydan kısa sürede yapay zeka asistanlarını harici araçlara bağlamak için fiili standart haline geldi. Mart 2026 itibarıyla MCP ekosistemi veritabanı konektörlerini, dosya sistemi sunucularını, GitHub entegrasyonlarını, Slack köprülerini, e-posta istemcilerini ve yüzlerce alana özgü araç sunucusunu kapsıyor.
Benimseme eğrisi dik. Güvenlik durumu değil.
Mart 2026 itibarıyla internette 8.000'den fazla MCP sunucusu herkese erişilebilir durumda. MCP uç noktalarını tarayan güvenlik araştırmacıları kimlik doğrulaması sıfır olan 492 sunucu buldu — API anahtarı yok, OAuth yok, IP kısıtlaması yok. Herhangi bir HTTP istemcisi araçlarını çağırabilir. Örneklenen MCP sunucularının %36,7'si SSRF'ye (Sunucu Taraflı İstek Sahteciliği) karşı savunmasız; bu, araç girdisini kontrol eden bir saldırganın MCP sunucusundan dahili ağ kaynaklarına geçiş yapabileceği anlamına geliyor.
Aynı dönemde 60 günde 30'dan fazla CVE, MCP uygulamalarına karşı dosyalandı — bu oran hem ekosistemin olgunlaşmamışlığını hem de araştırmacı ilgisinin yoğunluğunu yansıtıyor.
MCP Neden KKB Riski Yaratıyor
MCP, yapay zeka asistanlarına eylem alma ve verilere erişme yeteneği vermek için tasarlandı. Aynı zamanda onu bir KKB risk vektörü haline getiren de bu.
Bir geliştirici Cursor veya Claude Desktop'ı MCP veritabanı konektörüyle kullandığında, yapay zeka asistanı kullanıcının doğal dil isteğine göre SQL sorguları üretiyor. Bu sorgular gerçek veri döndürüyor — müşteri adları, e-posta adresleri, ödeme bilgileri veya diğer KKB içerebilir. Bu veri şu şekilde akıyor:
- Veritabanı MCP sunucusundan → yapay zeka asistanının bağlam penceresine
- Bağlam penceresinden → potansiyel olarak model sağlayıcısının günlük altyapısına
- Konuşma geçmişinden → geliştiricinin yerel makinesine
- Hata ayıklama oturumlarından → geliştirici bağlamı yapıştırdığında diğer yapay zeka asistanlarına
Bu adımların hiçbiri zorunlu olarak bir ihlal içermiyor. MCP'nin amaçlanan davranışı bunlar. Ancak sonuç, KKB'nin bunu işlemek için tasarlanmamış birden fazla sistemde dolaşması ve pek çok uygulamada MCP sunucusu ile yapay zeka istemcisi arasında şifrelemesiz iletilmesi.
CVE-2026-25253 (CVSS 8,8), Şubat 2026'da açıklandı ve belirli bir saldırıyı gösterdi: kötü niyetli yapılandırılmış bir MCP sunucusu, araç çağrısı yanıtlarına bağlı yapay zeka asistanının diğer bağlı MCP sunucularından veri sızdırmasına neden olan talimatlar enjekte edebiliyordu. Tehlikeye girmiş bir topluluk MCP sunucusuna bağlanan ve veritabanı MCP sunucusu aktif olan bir geliştirici, saldırgana tüm veritabanını açığa çıkarabilir.
Kimlik Doğrulaması Sıfır Olan 492 Sunucu
Kimlik doğrulaması olmayan 492 MCP sunucusu, CVE-2026-25253'ten farklı bir risk temsil ediyor. Bunlar tehlikeye girmiş meşru sunucular değil — sadece yanlış yapılandırılmış. Pek çoğu yerel kullanım için tasarlanmış ancak erişim kontrolsüz port yönlendirme veya bulut dağıtımı yoluyla açığa çıkan geliştirici araçları gibi görünüyor.
Bu sunucuların yaygın olarak açığa çıkardıkları:
- Ana dizinlere okuma erişimi olan dosya sistemi araçları
- Yapılandırmaya gömülü prodüksiyon kimlik bilgileri olan veritabanı konektörleri
- Kurumsal gelen kutularına erişimi olan e-posta MCP sunucuları
- Kod yürütme ortamları (en tehlikelisi — kimlik doğrulama olmadan keyfi kod yürütme)
Bu sunucuları oluşturan geliştiriciler neredeyse kesinlikle onları herkese açık yapmayı amaçlamamıştı. Ancak Cursor ve Claude Desktop, localhost MCP sunucusu ile herkese açık bir sunucu arasında ayrım yapmıyor — yapılandırmalarında kullanıcının sağladığı URL'ye bağlanıyorlar.
anonym.legal MCP Çözümü
MCP hatlarındaki KKB riski için yapısal düzeltme, verileri bir LLM'ye gönderen herhangi bir araç çağrısına ulaşmadan önce anonimleştirmektir. anonym.legal MCP sunucusunun sağladığı bu.
Sunucu 7 araç sunuyor:
| Araç | Amaç |
|---|---|
| `analyze_text` | KKB varlıklarını tespit et ve konumlarını ve türlerini döndür |
| `anonymize_text` | Tespit edilen KKB'yi ayıkla veya takma adlandır |
| `deanonymize_text` | Şifreleme anahtarınızı kullanarak takma adlandırmayı tersine çevir |
| `anonymize_batch` | Tek çağrıda birden fazla metni işle |
| `get_supported_entities` | Verilen dil için 285'ten fazla varlık türünü listele |
| `get_supported_languages` | Desteklenen 48 dili listele |
| `health_check` | Bağlantıyı doğrula |
Bir yapay zeka asistanının hem anonym.legal MCP sunucusu hem de veritabanı MCP sunucusu yapılandırılmış olduğunda, geliştirici şunu söyleyebilir: "Veritabanından herhangi bir müşteri verisi görüntülemeden önce sonuç üzerinde anonymize_text'i çağır." Yapay zeka orkestrasyonu üstlenir — ve KKB, modelin görünür çıktısına veya konuşma geçmişine asla tanımlanabilir biçimde ulaşmaz.
Cursor IDE Entegrasyonu
Cursor'a anonym.legal MCP sunucusu eklemek için:
```json // .cursor/mcp.json { "mcpServers": { "anonym-legal": { "url": "https://anonym.legal/mcp", "transport": "sse", "headers": { "Authorization": "Bearer API_ANAHTARINIZ" } } } } ```
Yapılandırıldıktan sonra Cursor'a şunu sorabilirsiniz: "Sorun takip sistemine yapıştırmadan önce bu destek biletini KKB açısından analiz et." Cursor `analyze_text`'i çağırır, varlık listesini döndürür ve yapıştırmadan önce anonimleştirmeyi isteyip istemediğinize siz karar verebilirsiniz.
Claude Desktop Entegrasyonu
```json // claude_desktop_config.json { "mcpServers": { "anonym-legal": { "command": "npx", "args": ["-y", "@anonym-legal/mcp-server"], "env": { "ANONYM_API_KEY": "API_ANAHTARINIZ" } } } } ```
Bu yapılandırmayla Claude Desktop, diğer MCP sunucularına gönderilen araç çağrılarına dahil etmeden önce paylaştığınız herhangi bir metni anonimleştirebilir. Anonimleştirme, Claude Desktop oturumunuzda istemci tarafında gerçekleşir — KKB, Anthropic'in sunucularına asla tanımlanabilir biçimde ulaşmaz.
MCP Kurulumunuzu Güçlendirme
anonym.legal MCP kullanmanın ötesinde, MCP yapılandırmanıza şu güçlendirme adımlarını uygulayın:
Sunucu listenizi denetleyin. Cursor/Claude Desktop yapılandırmanızdaki her MCP sunucusunu gözden geçirin. Her biri için operatöre güvendiğinizi ve hangi verilere erişebildiğini anladığınızı doğrulayın.
Yerel sunucuları uzaktan olanlara tercih edin. Yerel MCP sunucuları (HTTP yerine stdio aracılığıyla bağlanan) ağ maruziyeti yaratmaz. Yalnızca yerel alternatif olmadığında uzak sunucuları kullanın.
Kimlik doğrulamayı kontrol edin. Bağlandığınız her uzak MCP sunucusu bir API anahtarı veya OAuth token'ı gerektirmelidir. Gerektirmiyorsa KKB içeren bağlamlarda kullanmayın.
Geliştirme ve prodüksiyonu ayırın. Geliştirme çalışmaları için ayrı MCP sunucu yapılandırmaları kullanın (sentetik veri, KKB yok) ve prodüksiyon verilerine dokunan iş akışlarından ayrı tutun.
Araç çağrısı günlüklerini izleyin. MCP sunucunuz denetim günlüklerini destekliyorsa etkinleştirin. Hangi verinin hangi araç çağrısından geçtiğini bilin.
60 günde 30'dan fazla CVE, MCP güvenliğinin aktif olarak araştırıldığına işaret ediyor. Yeni güvenlik açıkları açıklanacak. Yapısal savunma — herhangi bir LLM'ye dokunan bir araç çağrısına ulaşmadan önce anonimleştirme — hangi özel CVE'nin keşfedileceğinden bağımsız olarak etkili olmaya devam ediyor.
Cursor'da anonym.legal MCP'yi yapılandırın →
Kaynaklar:
- Shodan MCP sunucu maruziyeti verileri, Mart 2026 — 8.000'den fazla sunucu, kimlik doğrulaması sıfır olan 492
- CVE-2026-25253, CVSS 8,8, MCP çapraz sunucu enjeksiyonu güvenlik açığı
- SSRF güvenlik açığı verileri: herkese erişilebilir MCP uç noktalarının güvenlik araştırması taraması, Mart 2026
- Anthropic MCP spesifikasyonu v1.2, güvenlik değerlendirmeleri bölümü