Backslash Security опубликовала исследование, посвящённое безопасности серверов Model Context Protocol (MCP), всё чаще применяемых в инфраструктуре искусственного интеллекта. Анализ показал, что сотни таких серверов подвержены уязвимостям, способным привести к утечке данных и атакам с удалённым выполнением кода.
Серверы MCP начали активно использоваться с конца 2024 года. Их задача — предоставить ИИ-доступ к внешним источникам данных, отсутствующим в обучающих наборах. На сегодняшний день по всему миру работает свыше 15 тыс. таких систем, однако их развертывание в организациях нередко сопровождается нарушением базовых принципов защиты.
Backslash Security исследовала более 7000 общедоступных MCP-серверов. Среди них около 70 имели критические уязвимости, включая неконтролируемый ввод и избыточные разрешения. Кроме того, сотни серверов были восприимчивы к уязвимости NeighborJack, из-за которой пользователь локальной сети может быть заражён без вмешательства извне. Некоторые экземпляры имели сразу несколько таких проблем, что позволяет потенциальному злоумышленнику получить полный контроль над системой.
Отдельную опасность исследователи увидели в возможности атак с подменой контекста, где искажаются данные, передаваемые большим языковым моделям. Это приводит к получению неверных результатов и манипулированию поведением ИИ.
Хотя вредоносных MCP в исследовании не обнаружено, эксперты констатируют, что слабая конфигурация, отсутствие аутентификации и стремление к быстрой интеграции подрывают общую устойчивость среды. В ответ на это Backslash Security создала MCP Server Security Hub — платформу, оценивающую уровень безопасности более 7000 серверов, и предложила бесплатный инструмент для самодиагностики.
Оригинал публикации на сайте CISOCLUB: "Backslash Security: сотни серверов MCP под угрозой удалённого исполнения кода и утечек данных".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube | X.