Protocole de contexte de modèle (MCP) : risques de sécurité et bonnes pratiques

Le protocole MCP (Model Context Protocol) révolutionne la manière dont les systèmes d'IA se connectent aux outils métier, aux sources de données et aux applications. Au lieu de se contenter de générer du texte, les agents IA peuvent utiliser les connexions MCP pour lire des fichiers, interroger des bases de données, appeler des API et déclencher des flux de travail.

C'est ce qui rend le MCP utile pour l'adoption de l'IA en entreprise. Elle accorde également la priorité à la sécurité du MCP.

Lorsque les serveurs MCP connectent des agents d'IA à des données sensibles et à des outils externes, ils deviennent des points de contrôle pour l'accès, l'identité, les autorisations, la journalisation et la réponse. Sans les mesures de protection adéquates, un processus d'IA utile peut rapidement devenir un risque pour la sécurité.

Qu'est-ce que le protocole MCP (Model Context Protocol) ?

Le « Model Context Protocol » est une norme ouverte utilisée pour connecter des applications d'IA à des outils et des sources de données externes. En termes simples, le MCP offre aux agents IA un moyen plus cohérent de demander du contexte, d'appeler des outils approuvés et d'utiliser les systèmes d'entreprise.

Par exemple, un agent IA peut avoir besoin d'effectuer une recherche dans une base de connaissances interne, de consulter le dossier d'un client, de résumer un document, de mettre à jour un ticket ou d'extraire des données d'une application métier. MCP offre au système d'IA un moyen structuré d'interagir avec ces ressources par le biais de connexions approuvées.

Cela signifie qu'un serveur MCP disposant d'un large accès aux outils peut accroître l'ampleur des risques liés à l'injection de commandes, au vol d'identifiants, à l'octroi de droits excessifs ou à l'utilisation abusive d'agents. Si un pirate parvient à influencer un agent IA ou à compromettre une connexion MCP, le risque peut s'étendre aux systèmes, aux données et aux actions exposés via ce serveur.

Comment fonctionnent les serveurs MCP ?

L'architecture MCP comprend généralement quatre éléments principaux : l'application d'IA ou l'hôte, le client MCP, le serveur MCP et les outils ou services connectés.

• Application d'IA ou hôte MCP – Exécute l'interface ou l'agent d'IA. Il reçoit la tâche de l'utilisateur et détermine quand un contexte ou des outils externes sont nécessaires. 
• Client MCP – Envoie des requêtes structurées depuis l'application d'IA vers le serveur MCP approprié et transmet la réponse du serveur à l'agent.
• Serveur MCP – Sert de passerelle contrôlée entre le système d'IA et les ressources externes. Elle met à la disposition de l'agent les outils, les données ou les actions approuvés qu'il peut utiliser. 
• Ressources connectées – Il peut s'agir notamment de bases de données, de systèmes de fichiers, d'outils de sécurité de la messagerie électronique, de systèmes de gestion des tickets, de services cloud, d'applications métier ou d'API.

Une interaction MCP type se déroule selon le schéma suivant :

L'importance du MCP pour les entreprises

Le MCP peut rendre les systèmes d'IA plus adaptés à une utilisation en entreprise. Au lieu de se fier uniquement à des connaissances issues de modèles statiques ou à des invites utilisateur préenregistrées, les agents peuvent interagir avec des systèmes en temps réel et tenir compte du contexte métier pertinent.

Cela crée une nouvelle valeur. Cela rend également la situation encore plus critique.

Un chatbot simple peut répondre de manière erronée à une question. Un agent connecté via MCP peut récupérer des informations sensibles, appeler une API, modifier un enregistrement, déclencher un workflow ou envoyer des données vers un autre système. Le risque augmente lorsque les agents peuvent accéder à des données internes, utiliser des outils externes ou effectuer des actions sans contrôles de sécurité rigoureux.

C'est pourquoi les serveurs MCP doivent être considérés comme des limites de confiance. Il ne s'agit pas simplement de « plomberie » pour développeurs. Il s'agit de points de contrôle auxquels les organisations doivent veiller au respect des exigences en matière d'identité, d'autorisations, d'outils, de sessions et de journalisation.

Principaux risques liés à la sécurité du serveur MCP

Les risques de sécurité liés au MCP proviennent souvent de défaillances au niveau des accès, de l'identité, des identifiants et du contrôle des outils. Les points suivants méritent d'être examinés avec attention lors de toute mise en œuvre ou de tout déploiement du MCP.

Contamination de l'outil

On parle d'« empoisonnement d'outils » lorsque des attaquants manipulent les descriptions, les paramètres, les métadonnées, les valeurs par défaut ou les invites des outils exposés via les serveurs MCP. Étant donné que les agents d'IA s'appuient sur les descriptions des outils pour déterminer leur fonction et le moment où les utiliser, des instructions malveillantes ou trompeuses peuvent influencer leur comportement.

Par exemple, la description d'un outil pourrait être modifiée de manière à ce qu'un agent envoie des données à une mauvaise destination, ignore les contrôles de validation habituels ou opte pour une action risquée. Ce vecteur d'attaque est particulièrement préoccupant, car des instructions malveillantes peuvent se trouver dans les métadonnées plutôt que dans une invite visible pour l'utilisateur.

Échecs d'autorisation dus à une confusion concernant le mandataire

Un problème de substitution erronée survient lorsqu'un serveur MCP exécute des actions en utilisant ses propres droits d'accès élevés au lieu des droits d'accès approuvés de l'utilisateur à l'origine de la requête.

Concrètement, cela signifie que l'agent d'IA peut amener un serveur à effectuer des actions que l'utilisateur ne pourrait normalement pas effectuer. Si le serveur dispose d'un accès étendu aux systèmes de l'entreprise, cela peut entraîner des actions non autorisées, la divulgation de données ou des modifications effectuées sous une fausse identité.

Ombrage des outils et conflit de noms d'outils

On parle d'« imitation d'outil » lorsqu'un outil MCP malveillant se fait passer pour un outil légitime. Il peut porter un nom, une description ou une fonction similaires, ce qui peut amener un agent à choisir le mauvais outil.

Cela peut se produire lorsque plusieurs serveurs MCP mettent à disposition des outils qui se chevauchent. Par exemple, un outil légitime intitulé « search customer record » et un outil malveillant intitulé « search_customer_records » peuvent sembler similaires aux yeux de l'agent. En l'absence de validation des outils et de règles de nommage claires, le système d'IA risque de choisir l'option dangereuse.

Autorisations excessives

Les serveurs MCP présentent un risque lorsqu'ils exposent davantage d'outils, de données ou d'actions que ne l'exige le cas d'utilisation approuvé. Un agent du service d'assistance peut n'avoir besoin que de consulter l'historique des tickets, mais le serveur peut également donner accès à des exportations de données clients, à des actions administratives ou à des données de facturation.

Des autorisations trop larges aggravent les conséquences de chaque erreur. Elles offrent également davantage de possibilités aux attaquants s'ils parviennent à compromettre une connexion MCP ou à influencer le comportement d'un agent par l'injection de messages.

Authentification faible

Une authentification défaillante peut permettre à des utilisateurs, agents ou services non autorisés de se connecter aux serveurs MCP. Ce risque s'aggrave lorsque les serveurs MCP sont accessibles depuis des réseaux publics, des clients non fiables ou des environnements non gérés.

Une authentification forte doit s'appliquer aux utilisateurs, aux agents, aux services et aux identités des machines. Les équipes de sécurité devraient également examiner comment la relation de confiance s'établit entre l'hôte MCP, le client MCP et le serveur.

Champs d'application OAuth généraux

Des champs d'application OAuth trop larges peuvent accorder des autorisations étendues à une application, alors que des champs d'application plus restreints permettraient d'accomplir la même tâche. Par exemple, un agent peut n'avoir besoin que d'un accès en lecture seule à un dossier spécifique, mais l'intégration peut exiger un accès complet à un disque entier ou à une boîte aux lettres.

Cela accroît l'impact potentiel d'une intrusion. La sécurisation des serveurs MCP doit notamment passer par la révision des périmètres d'accès et la limitation de ces derniers au strict minimum nécessaire pour chaque processus de travail.

Transmission des jetons et clés API à longue durée de vie

Le « token passthrough » peut entraîner la divulgation d'identifiants lorsque des jetons d'utilisateur ou de service transitent par le flux MCP sans faire l'objet de contrôles rigoureux. Si les jetons sont transmis, enregistrés, stockés ou réutilisés de manière inappropriée, des attaquants pourraient obtenir un accès allant au-delà de la session initiale.

Les clés API à longue durée de vie posent des problèmes similaires. Les clés persistantes peuvent être volées, réutilisées ou oubliées, notamment lorsqu'elles sont stockées dans du code, des journaux, des fichiers locaux ou des environnements de développement non gérés. Une gestion sécurisée des jetons doit éviter l'utilisation de secrets codés en dur, de comptes de service non gérés et l'exposition inutile des identifiants.

Utilisation abusive de l'identité des machines

Les serveurs MCP s'appuient souvent sur des comptes de service, des jetons API, des certificats ou d'autres identités de machine. Les pirates peuvent cibler ces identités, car celles-ci leur permettent d'accéder de manière stable aux systèmes de l'entreprise.

Une équipe de sécurité doit considérer les identités des machines liées aux serveurs MCP comme des actifs de grande valeur. Ils ont besoin de définir les responsabilités, la rotation, les limites de portée, les mécanismes de suivi et les procédures de révocation.

Attribution incertaine de l'agent utilisateur

Les équipes doivent savoir quel utilisateur, agent, compte de service ou flux de travail a déclenché chaque requête MCP et chaque action de l'outil. En l'absence d'attribution de l'agent utilisateur, les enquêtes s'avèrent plus difficiles.

Si un enregistrement est modifié, si un fichier est consulté ou si des données sensibles quittent un système, les professionnels de la sécurité doivent remonter la piste de cet événement jusqu'à l'identité de la personne responsable et au flux de travail de l'IA concerné. L'absence d'attribution entraîne des lacunes dans l'audit et ralentit la réaction.

Scénarios courants d'attaques contre les serveurs MCP

Les pirates peuvent exploiter les failles liées aux mauvaises pratiques de déploiement du MCP de plusieurs façons. Ces scénarios montrent comment les lacunes techniques peuvent se transformer en risques pour l'entreprise.

Serveurs MCP exposés

Un serveur MCP exposé peut être accessible depuis des réseaux publics, par des applications non autorisées ou par des clients non fiables. Les attaquants peuvent rechercher les services accessibles, tester les failles d'authentification et tenter de se connecter directement aux outils disponibles.

Si le serveur expose des données sensibles ou permet d'effectuer des actions aux conséquences importantes, un accès non autorisé peut rapidement se transformer en incident grave.

Autorisations mal configurées

Des autorisations mal configurées peuvent permettre aux agents d'extraire des données ou de déclencher des actions en dehors du cas d'utilisation autorisé. Un assistant de productivité aux droits d'accès limités, par exemple, pourrait ainsi accéder à des dossiers RH sensibles, à des fichiers clients ou à des processus administratifs, car le serveur a été configuré de manière trop large.

Ces erreurs sont fréquentes lorsque les équipes avancent à un rythme soutenu avec des pilotes d'IA et n'appliquent pas les mêmes normes de contrôle des accès que celles utilisées pour les autres systèmes d'entreprise.

Clés API non gérées

Les clés API codées en dur, à durée de vie prolongée ou mal conservées peuvent être volées et réutilisées pour accéder aux outils ou services connectés. Ce risque s'accroît lorsque des serveurs MCP sont créés à la hâte dans des environnements locaux, copiés d'un projet à l'autre ou déployés sans gestion formelle des secrets.

Les pirates recherchent souvent des identifiants dans le code source, les fichiers journaux, les fichiers de configuration et les ordinateurs des développeurs. Une fois volées, les clés API peuvent permettre un accès continu, même après la fin de l'interaction initiale avec le MCP.

Gestion des sessions non sécurisée

Des contrôles de session insuffisants peuvent permettre la relecture, le détournement ou un accès prolongé alors qu'un utilisateur, un agent ou un jeton ne devrait plus être considéré comme fiable. Ceci revêt une importance particulière dans les flux de travail liés à l'IA agentique, car les sessions peuvent comporter plusieurs étapes, outils et sources de données.

Les contrôles de sécurité doivent définir à quel moment les sessions expirent, comment les jetons sont associés à l'identité et au contexte, et comment l'accès est révoqué lorsque le niveau de risque évolue.

Fichiers journaux manquants

L'absence ou le caractère incomplet des journaux rend difficile la détermination de l'agent qui a appelé un outil, des données consultées et de l'utilisateur ou de l'identité concerné(e). Cela pose des problèmes en matière de tests de sécurité, de gestion des incidents, de conformité et d'analyse a posteriori.

Les journaux d'interaction MCP doivent contenir suffisamment de détails pour permettre la conduite d'une enquête sans divulguer inutilement des informations sensibles.

Serveurs MCP non approuvés

Les serveurs MCP non approuvés peuvent contourner les processus d'inventaire, de détermination de la propriété, de contrôle des accès, de surveillance et de gestion des incidents. C'est le problème du MCP « fantôme ».

Un développeur peut se connecter à un serveur local à des fins de test. Une équipe peut adopter un outil MCP fourni par un éditeur. Une unité opérationnelle peut tester plusieurs serveurs MCP avant que les équipes de sécurité n'aient connaissance de leur existence. Chaque connexion non gérée peut constituer un angle mort.

Meilleures pratiques en matière de sécurité des serveurs MCP

Pour garantir la sécurité du MCP, il est nécessaire de mettre en place un programme concret axé sur la visibilité, le contrôle d'accès, la validation, la surveillance et la réaction. Les bonnes pratiques de sécurité MCP suivantes peuvent aider les organisations à réduire les risques.

Inventaire de chaque serveur MCP

Suivre les serveurs MCP internes, distants, approuvés, non approuvés, créés par les développeurs et fournis par les fournisseurs. L'inventaire doit inclure le propriétaire du serveur, sa finalité, les outils connectés, les données exposées, la méthode d'authentification, l'environnement de déploiement et le cas d'utilisation métier.

Désigner des responsables clairs

Chaque serveur MCP doit disposer d'une équipe ou d'une personne chargée de définir son objectif, ses outils, ses autorisations, sa surveillance et sa mise hors service. La responsabilisation permet d'éviter que des serveurs ne soient oubliés, que des identifiants ne soient pas gérés et que les procédures d'escalade ne soient pas claires en cas d'incident.

Appliquer le principe du « droit d'accès minimal »

Limitez chaque connexion entre le serveur MCP et l'agent aux outils, aux périmètres et aux données strictement nécessaires. Évitez d'accorder des droits d'accès administratifs étendus, sauf si le cas d'utilisation l'exige réellement et que des autorisations supplémentaires ont été obtenues.

Le principe du « privilège minimal » doit s'appliquer aux utilisateurs, aux agents, aux clients MCP, aux comptes de service, aux champs d'application OAuth, aux clés API et aux systèmes connectés.

Utilisez la gestion sécurisée des jetons

Évitez les identifiants à durée de validité prolongée, le transfert de jetons, les secrets codés en dur et les comptes de service non gérés. Utilisez des jetons à durée de vie limitée dans la mesure du possible, stockez les informations confidentielles dans des systèmes agréés, renouvelez régulièrement les identifiants d'accès et révoquez les droits d'accès lorsqu'un processus, un serveur ou un utilisateur n'en a plus besoin.

Vérifier les outils et les données d'entrée

Vérifiez les définitions des outils, leurs descriptions, leurs paramètres, les invites, les fichiers et le contenu externe avant l'exécution. Cela permet de réduire le risque d'empoisonnement des outils, d'injection d'instructions malveillantes et de sélection d'outils non sécurisés.

Les équipes de sécurité peuvent également recourir à un inspecteur MCP ou à une méthode de test similaire pour examiner les outils disponibles, analyser les schémas et valider le comportement des serveurs avant leur mise en production.

Surveiller en continu les appels à l'outil

Enregistrez quel agent a appelé quel outil, quelles données ont été consultées, quelle action a été effectuée et quel utilisateur ou quelle identité était concerné(e). La surveillance doit également porter sur les activités inhabituelles, les combinaisons d'outils inattendues, les échecs répétés, les récupérations de données volumineuses et les actions s'écartant des schémas habituels du flux de travail.

Une bonne journalisation facilite le renseignement sur les menaces, l'ingénierie de détection, les enquêtes et les contrôles de conformité.

Se prémunir contre les injections spontanées

On parle d'« injection de prompt » lorsque des instructions malveillantes influencent le comportement d'un système d'IA. Avec le MCP, l'impact peut être plus important, car l'agent peut avoir accès à des outils et à des données.

Les organisations devraient contrôler les contenus non fiables et exiger une validation préalable pour les actions à fort impact déclenchées par le raisonnement de l'agent. Ces actions peuvent notamment consister à envoyer des messages, à modifier des enregistrements, à transférer des fichiers, à modifier des autorisations ou à extraire des données sensibles.

Se protéger contre l'injection indirecte de prompt

L'injection indirecte de prompt permet de dissimuler des instructions malveillantes au sein de fichiers, d'e-mails, de documents, de tickets, de pages Web, de réponses d'API et de contenus de base de connaissances. Un agent IA peut lire le contenu dans le cadre d'un processus de travail normal, puis suivre l'instruction cachée.

Cela vaut tout particulièrement pour le MCP, car les agents ont souvent recours à des outils externes pour récupérer des informations. Les contrôles de sécurité doivent considérer le contenu externe comme non fiable, même lorsqu'il provient d'un système d'entreprise connecté.

Élaborer des guides d'intervention en cas d'incident

Les organisations doivent définir la manière dont les équipes vont circonscrire les serveurs MCP compromis, révoquer les jetons, désactiver les outils, examiner les journaux et rétablir un fonctionnement sûr.

Une liste de contrôle de sécurité MCP doit inclure les mesures à prendre en cas de divulgation d'identifiants, de détection d'un serveur malveillant, d'empoisonnement d'outils, d'accès non autorisé et d'activité suspecte d'un agent. Les équipes de sécurité doivent également savoir comment isoler les connexions MCP concernées sans perturber les systèmes métier non concernés.

Comment Mimecast peut-il contribuer à la sécurité des serveurs MCP ?

La solution Mimecast Agentic AI Security permet d'accompagner les organisations qui s'efforcent d'identifier, de réguler et de sécuriser les activités liées à l'IA agentique au sein de leurs environnements d'entreprise. C'est important car le risque lié au MCP ne se limite pas au serveur MCP. Tout commence souvent par le contenu, les utilisateurs, les messages, les liens, les fichiers et les flux de travail traités par les agents.

L'approche plus globale de Mimecast en matière de gestion de Human Risk s'applique ici. En aidant les organisations à protéger leurs utilisateurs, leurs canaux de communication et leurs processus de collaboration, Mimecast peut contribuer aux efforts visant à réduire les risques liés à l'injection de commandes, aux fuites de données et aux actions dangereuses des agents.

Pour les équipes de sécurité, l'objectif ne consiste pas seulement à bloquer un serveur MCP malveillant ou à examiner un outil MCP. Il est avant tout nécessaire de comprendre où se déroulent les activités de l'IA agentique, comment celles-ci s'articulent avec le comportement humain, et dans quels domaines les processus sensibles pourraient nécessiter une gouvernance plus stricte en matière d'IA.

Renforcer la sécurité des serveurs MCP pour l'IA agentique

Le MCP peut rendre les agents IA plus utiles en les connectant aux outils d'entreprise, aux sources de données et aux applications. Cela peut aider les agents à retrouver le bon contexte, à faire appel à des services agréés et à mettre en place des processus métier plus pratiques.

À mesure que l'adoption de l'IA agentique se généralise, la sécurisation du MCP s'inscrira dans le cadre d'un programme plus large de sécurité de l'IA. Les organisations doivent savoir comment les agents se connectent aux systèmes, comment les utilisateurs et les machines sont authentifiés, comment les données sensibles sont traitées et comment les instructions malveillantes sont détectées avant qu'elles ne causent des dommages.

La solution Mimecast Agentic AI Security peut aider les organisations à renforcer la visibilité, la gouvernance et la protection au sein de leur environnement d'IA agentique. Pour les équipes qui développent avec MCP, cette vision plus globale peut contribuer à réduire les risques tout en favorisant une adoption plus sûre de l'IA à l'échelle de l'entreprise.