Model Context Protocol (MCP): rischi per la sicurezza e migliori pratiche

Il Model Context Protocol (MCP) sta rivoluzionando il modo in cui i sistemi di intelligenza artificiale si collegano agli strumenti aziendali, alle fonti di dati e alle applicazioni. Anziché limitarsi a generare testo, gli agenti basati sull’intelligenza artificiale possono utilizzare le connessioni MCP per leggere file, eseguire query su database, richiamare API e attivare flussi di lavoro.

Ciò rende MCP utile per l'adozione dell'IA nelle aziende. Inoltre, attribuisce priorità alla sicurezza MCP.

Quando i server MCP collegano gli agenti di intelligenza artificiale a dati sensibili e strumenti esterni, essi diventano punti di controllo per l’accesso, l’identità, le autorizzazioni, la registrazione degli eventi e la risposta. Senza le giuste misure di sicurezza, un flusso di lavoro basato sull’intelligenza artificiale, pur essendo utile, può trasformarsi rapidamente in un rischio per la sicurezza.

Che cos’è il Model Context Protocol (MCP)?

Il Model Context Protocol è uno standard aperto utilizzato per collegare le applicazioni di intelligenza artificiale a strumenti e fonti di dati esterni. In parole semplici, MCP offre agli agenti di intelligenza artificiale un modo più coerente per richiedere informazioni sul contesto, richiamare strumenti approvati e utilizzare i sistemi aziendali.

Ad esempio, un agente di intelligenza artificiale potrebbe dover effettuare una ricerca in una base di conoscenza interna, verificare la scheda di un cliente, sintetizzare un documento, aggiornare un ticket o recuperare dati da un’applicazione aziendale. MCP offre al sistema di intelligenza artificiale un metodo strutturato per interagire con tali risorse tramite connessioni autorizzate.

Ciò significa che un server MCP con ampio accesso agli strumenti può ampliare la portata dell’iniezione di prompt, del furto di credenziali, dell’assegnazione eccessiva di autorizzazioni o dell’uso improprio degli agenti. Se un malintenzionato riuscisse a influenzare un agente di intelligenza artificiale o a compromettere una connessione MCP, il rischio potrebbe estendersi ai sistemi, ai dati e alle azioni accessibili tramite quel server.

Come funzionano i server MCP?

L'architettura MCP comprende in genere quattro componenti principali: l'applicazione di intelligenza artificiale o host, il client MCP, il server MCP e gli strumenti o i servizi collegati.

• Applicazione AI o host MCP – Esegue l'interfaccia o l'agente AI. Riceve l'attività dell'utente e stabilisce quando sono necessari contesti o strumenti esterni. 
• Client MCP – Invia richieste strutturate dall’applicazione di intelligenza artificiale al server MCP corretto e restituisce la risposta del server all’agente.
• Server MCP – Funge da ponte controllato tra il sistema di intelligenza artificiale e le risorse esterne. Mette a disposizione dell’agente strumenti, dati o azioni approvati che questi può utilizzare. 
• Risorse collegate – Possono includere database, file system, strumenti di sicurezza della posta elettronica, sistemi di gestione dei ticket, servizi cloud, applicazioni aziendali o API.

Un'interazione tipica con l'MCP segue questo flusso:

L'importanza dell'MCP per le imprese

L'MCP può rendere i sistemi di intelligenza artificiale più pratici per l'uso aziendale. Anziché basarsi esclusivamente su conoscenze relative a modelli statici o su istruzioni predefinite fornite dagli utenti, gli agenti possono interagire con sistemi in tempo reale e con il contesto aziendale pertinente.

Questo crea nuovo valore. Inoltre, aumenta la posta in gioco.

Un semplice chatbot potrebbe rispondere in modo errato a una domanda. Un agente collegato tramite MCP può recuperare informazioni sensibili, richiamare un'API, modificare un record, attivare un flusso di lavoro o inviare dati a un altro sistema. Il rischio aumenta quando gli agenti possono accedere a dati interni, utilizzare strumenti esterni o eseguire operazioni senza controlli di sicurezza rigorosi.

Ecco perché i server MCP dovrebbero essere considerati come confini di fiducia. Non si tratta semplicemente di "lavori idraulici" per sviluppatori. Si tratta di punti di controllo in cui le organizzazioni dovrebbero applicare i requisiti relativi all’identità, alle autorizzazioni, agli strumenti, alle sessioni e alla registrazione.

Principali rischi per la sicurezza del server MCP

I rischi per la sicurezza MCP derivano spesso da falle relative agli accessi, all’identità, alle credenziali e al controllo degli strumenti. I seguenti aspetti meritano un'attenta valutazione in occasione di qualsiasi implementazione o distribuzione dell'MCP.

Avvelenamento dell'utensile

Si parla di “avvelenamento degli strumenti” quando gli autori degli attacchi manipolano le descrizioni, i parametri, i metadati, le impostazioni predefinite o le richieste degli strumenti resi disponibili tramite i server MCP. Poiché gli agenti di intelligenza artificiale si basano sulle descrizioni degli strumenti per stabilire quali siano le loro funzioni e quando utilizzarli, istruzioni dannose o fuorvianti possono influenzare il comportamento degli agenti.

Ad esempio, la descrizione di uno strumento potrebbe essere modificata in modo tale da indurre un agente a inviare dati a una destinazione errata, a ignorare le normali procedure di convalida o a scegliere un’azione rischiosa. Questo vettore di attacco è particolarmente preoccupante poiché le istruzioni dannose potrebbero comparire all’interno dei metadati anziché in una richiesta visibile all’utente.

Errori di autorizzazione dovuti a confusione da parte dei vice

Si verifica un problema di "deputy confuso" quando un server MCP esegue delle azioni utilizzando i propri permessi con privilegi elevati anziché i permessi approvati dell'utente richiedente.

In pratica, ciò significa che l’agente di intelligenza artificiale potrebbe indurre un server a compiere azioni che l’utente non sarebbe normalmente in grado di compiere. Se il server dispone di un ampio accesso ai sistemi aziendali, ciò può comportare azioni non autorizzate, la divulgazione di dati o modifiche apportate utilizzando un’identità errata.

Ombra degli utensili e conflitto tra i nomi degli utensili

Si parla di “shadowing” di uno strumento quando uno strumento MCP dannoso imita uno strumento legittimo. Potrebbe avere un nome, una descrizione o una funzione simili, con il rischio che un operatore scelga lo strumento sbagliato.

Ciò può verificarsi quando più server MCP mettono a disposizione strumenti che si sovrappongono. Ad esempio, uno strumento legittimo denominato “search customer record” e uno strumento dannoso denominato “search_customer_records” potrebbero apparire simili agli occhi dell’agente. In assenza di una convalida degli strumenti e di chiari criteri di denominazione, il sistema di intelligenza artificiale potrebbe selezionare l’opzione non sicura.

Autorizzazioni eccessive

I server MCP comportano un rischio quando rendono accessibili più strumenti, dati o azioni di quanto richiesto dal caso d'uso approvato. È possibile che un addetto all’assistenza debba semplicemente consultare la cronologia dei ticket, ma il server potrebbe anche rendere visibili le esportazioni dei dati dei clienti, le azioni amministrative o i dati di fatturazione.

Concessioni eccessive rendono ogni errore più grave. Inoltre, offrono agli aggressori maggiori possibilità qualora compromettano una connessione MCP o influenzino il comportamento dell’agente tramite l’iniezione di prompt.

Autenticazione debole

Un’autenticazione inadeguata può consentire a utenti, agenti o servizi non autorizzati di connettersi ai server MCP. Tale rischio assume maggiore gravità quando i server MCP sono accessibili da reti pubbliche, da client non attendibili o da ambienti non gestiti.

L'autenticazione forte dovrebbe essere applicata agli utenti, agli agenti, ai servizi e alle identità delle macchine. I team di sicurezza dovrebbero inoltre verificare in che modo viene stabilita la relazione di fiducia tra l’host MCP, il client MCP e il server.

Ambiti OAuth di ampio respiro

Gli ambiti OAuth di ampio raggio possono concedere autorizzazioni estese alle applicazioni, mentre ambiti più ristretti consentirebbero comunque di svolgere la stessa attività. Ad esempio, un agente potrebbe aver bisogno solo di un accesso in sola lettura a una cartella specifica, ma l’integrazione potrebbe richiedere l’accesso completo a un’intera unità o a una casella di posta.

Ciò aumenta il potenziale impatto di una violazione della sicurezza. La messa in sicurezza dei server MCP dovrebbe comprendere la revisione degli ambiti di applicazione e la limitazione dell'accesso al minimo necessario per ciascun flusso di lavoro.

Passaggio dei token e chiavi API a lunga durata

Il “pass-through” dei token può comportare la divulgazione delle credenziali quando i token utente o di servizio transitano attraverso il flusso MCP senza controlli rigorosi. Se i token vengono inoltrati, registrati, archiviati o riutilizzati in modo improprio, gli aggressori potrebbero ottenere un accesso che va oltre la sessione originaria.

Le chiavi API a lunga durata causano problemi simili. Le chiavi persistenti possono essere rubate, riutilizzate o dimenticate, soprattutto se memorizzate nel codice, nei log, nei file locali o in ambienti di sviluppo non gestiti. Una gestione sicura dei token dovrebbe evitare l'uso di segreti hardcoded, account di servizio non gestiti e l'esposizione non necessaria delle credenziali.

Uso improprio dell'identità delle macchine

I server MCP si avvalgono spesso di account di servizio, token API, certificati o altre identità di macchina. Gli autori degli attacchi potrebbero prendere di mira tali identità poiché queste consentono loro di ottenere un accesso stabile ai sistemi aziendali.

Un team di sicurezza dovrebbe considerare le identità delle macchine collegate ai server MCP come risorse di grande valore. È necessario definire la titolarità, la rotazione, i limiti di ambito, il monitoraggio e i piani di revoca.

Attribuzione non chiara dell’User-Agent

I team devono sapere quale utente, agente, account di servizio o flusso di lavoro abbia attivato ciascuna richiesta MCP e ciascuna azione dello strumento. In assenza di informazioni sull’user-agent, le indagini risultano più complesse.

Qualora un record venga modificato, si acceda a un file o dei dati sensibili escano da un sistema, i professionisti della sicurezza devono risalire all’identità del responsabile e al flusso di lavoro dell’intelligenza artificiale correlato all’evento. La mancanza di attribuzione crea lacune nella verifica e rallenta la risposta.

Scenari comuni di attacco ai server MCP

Gli autori degli attacchi possono sfruttare le pratiche di implementazione inadeguate dell'MCP in diversi modi. Questi scenari illustrano come le lacune tecniche possano trasformarsi in rischi aziendali.

Server MCP esposti

Un server MCP esposto potrebbe essere raggiungibile da reti pubbliche, applicazioni non autorizzate o client non attendibili. Gli aggressori possono individuare i servizi accessibili, verificare la presenza di punti deboli nell'autenticazione e tentare di connettersi direttamente agli strumenti disponibili.

Se il server espone dati sensibili o consente azioni di grande impatto, un accesso non autorizzato può trasformarsi rapidamente in un grave incidente.

Permessi configurati in modo errato

Una configurazione errata delle autorizzazioni potrebbe consentire agli agenti di recuperare dati o di attivare azioni al di fuori dei casi d'uso approvati. Un assistente con competenze limitate, ad esempio, potrebbe ottenere l’accesso a documenti riservati delle risorse umane, a fascicoli dei clienti o a flussi di lavoro amministrativi a causa di una configurazione troppo generica del server.

Questi errori sono frequenti quando i team procedono rapidamente con i piloti di IA e non applicano gli stessi standard di verifica degli accessi utilizzati per gli altri sistemi aziendali.

Chiavi API non gestite

Le chiavi API hardcoded, di lunga durata o conservate in modo inadeguato possono essere rubate e riutilizzate per accedere a strumenti o servizi collegati. Tale rischio aumenta quando i server MCP vengono configurati in fretta in ambienti locali, replicati tra diversi progetti o implementati senza una gestione formale delle informazioni riservate.

Gli autori degli attacchi cercano spesso credenziali nel codice sorgente, nei log, nei file di configurazione e nei computer degli sviluppatori. Una volta sottratte, le chiavi API potrebbero consentire un accesso continuativo anche dopo la conclusione dell’interazione originale con l’MCP.

Gestione non sicura delle sessioni

Controlli delle sessioni inadeguati possono consentire la riproduzione, il dirottamento o l'accesso continuativo anche dopo che un utente, un agente o un token non è più considerato affidabile. Ciò è rilevante nei flussi di lavoro dell’IA agentica, poiché le sessioni possono comportare più fasi, strumenti e fonti di dati.

I controlli di sicurezza dovrebbero definire quando le sessioni scadono, in che modo i token vengono associati all’identità e al contesto e come l’accesso venga revocato al variare del livello di rischio.

Registrazioni mancanti

La mancanza o l'incompletezza delle registrazioni rende difficile risalire a quale agente abbia richiamato uno strumento, a quali dati si sia avuto accesso e quale utente o identità sia stato coinvolto. Ciò comporta problemi per i test di sicurezza, la risposta agli incidenti, la conformità e l'analisi post-evento.

I registri delle interazioni MCP dovrebbero contenere dettagli sufficienti a consentire lo svolgimento delle indagini senza rivelare inutilmente informazioni sensibili.

Server MCP non approvati

I server MCP non approvati possono eludere i processi relativi all’inventario, alla titolarità, alla verifica degli accessi, al monitoraggio e alla risposta agli incidenti. Questo è il problema dell’MCP “ombra”.

Uno sviluppatore può collegarsi a un server locale a scopo di test. Un team può adottare uno strumento MCP fornito da un fornitore. Un’unità aziendale potrebbe sperimentare l’utilizzo di più server MCP prima che i team di sicurezza ne siano a conoscenza. Ogni connessione non gestita costituisce un potenziale punto cieco.

Migliori pratiche per la sicurezza dei server MCP

Per garantire la sicurezza dell’MCP è necessario un programma concreto incentrato su visibilità, controllo degli accessi, convalida, monitoraggio e risposta. Le seguenti best practice di sicurezza MCP possono aiutare le organizzazioni a ridurre i rischi.

Effettuare l'inventario di ogni server MCP

Tenere traccia dei server MCP interni, remoti, approvati, non approvati, creati dagli sviluppatori e forniti dai fornitori. L'inventario dovrebbe includere il proprietario del server, lo scopo, gli strumenti collegati, i dati esposti, il metodo di autenticazione, l'ambiente di implementazione e il caso d'uso aziendale.

Assegnare responsabili chiari

Ogni server MCP dovrebbe avere un team o una persona responsabile della sua finalità, degli strumenti, delle autorizzazioni, del monitoraggio e della dismissione. La responsabilità contribuisce a evitare che vi siano server dimenticati, credenziali non gestite e procedure di escalation poco chiare in caso di incidenti.

Applicare il principio del privilegio minimo

Limiti ogni connessione del server MCP e dell’agente agli strumenti, agli ambiti e ai dati strettamente necessari. Si raccomanda di evitare di concedere un accesso amministrativo di ampia portata, a meno che il caso specifico non lo richieda effettivamente e siano state ottenute ulteriori autorizzazioni.

Il principio del privilegio minimo dovrebbe essere applicato a utenti, agenti, client MCP, account di servizio, ambiti OAuth, chiavi API e sistemi collegati.

Utilizzare la gestione sicura dei token

Si raccomanda di evitare credenziali di lunga durata, il “token passthrough”, le chiavi segrete hardcoded e gli account di servizio non gestiti. Utilizzate, ove possibile, token a durata limitata, conservate le informazioni riservate in sistemi approvati, aggiornate regolarmente le credenziali e revocate l’accesso quando un flusso di lavoro, un server o un utente non ne ha più bisogno.

Verifica degli strumenti e dei dati di input

Prima dell'esecuzione, si raccomanda di verificare le definizioni degli strumenti, le descrizioni degli strumenti, i parametri, le richieste di input, i file e i contenuti esterni. Ciò contribuisce a ridurre il rischio di "avvelenamento" degli strumenti, di iniezione di istruzioni dannose e di selezione di strumenti non sicuri.

I team di sicurezza possono inoltre avvalersi di un ispettore MCP o di un approccio di test analogo per esaminare gli strumenti disponibili, verificare gli schemi e convalidare il comportamento dei server prima dell’utilizzo in produzione.

Lo strumento di monitoraggio effettua chiamate in modo continuo

Registrare quale agente ha richiamato quale strumento, a quali dati si è avuto accesso, quale azione è stata intrapresa e quale utente o identità è stato coinvolto. Il monitoraggio dovrebbe inoltre individuare attività insolite, combinazioni inattese di strumenti, errori ricorrenti, recuperi di grandi quantità di dati e azioni che esulano dai normali schemi del flusso di lavoro.

Una corretta registrazione dei log supporta l’analisi delle minacce, le tecniche di rilevamento, le indagini e la verifica della conformità.

Protezione contro l'iniezione di prompt

Si parla di “prompt injection” quando istruzioni dannose influenzano il comportamento di un sistema di intelligenza artificiale. Con l’MCP, l’impatto può essere maggiore poiché l’agente potrebbe avere accesso a strumenti e dati.

Le organizzazioni dovrebbero sottoporre a verifica i contenuti non attendibili e richiedere l'approvazione per le azioni ad alto impatto innescate dal ragionamento dell'agente. Tali azioni possono includere l'invio di messaggi, la modifica di record, il trasferimento di file, la modifica dei permessi o il recupero di dati sensibili.

Protezione contro l'iniezione indiretta di prompt

L'iniezione indiretta di prompt può nascondere istruzioni dannose all'interno di file, e-mail, documenti, ticket, pagine web, risposte API e contenuti della knowledge base. Un agente di intelligenza artificiale potrebbe leggere il contenuto nell'ambito di un normale flusso di lavoro e quindi seguire l'istruzione nascosta.

Ciò è particolarmente rilevante per MCP, poiché gli agenti utilizzano spesso strumenti esterni per recuperare informazioni. I controlli di sicurezza dovrebbero considerare i contenuti esterni come non attendibili, anche quando provengono da un sistema aziendale collegato.

Elaborare guide operative per la risposta agli incidenti

Le organizzazioni dovrebbero definire in che modo i team provvederanno a isolare i server MCP compromessi, revocare i token, disattivare gli strumenti, esaminare i registri e ripristinare il funzionamento sicuro.

Una checklist di sicurezza MCP dovrebbe includere le misure da adottare in caso di esposizione delle credenziali, individuazione di server dannosi, manomissione degli strumenti, accesso non autorizzato e attività sospette degli agenti. I team di sicurezza dovrebbero inoltre sapere come isolare le connessioni MCP interessate senza compromettere il funzionamento dei sistemi aziendali non coinvolti.

In che modo Mimecast può garantire la sicurezza dei server MCP?

Mimecast Agentic AI Security è in grado di supportare le organizzazioni impegnate a individuare, gestire e proteggere le attività dell’intelligenza artificiale agentica negli ambienti aziendali. Ciò è importante poiché il rischio MCP non si limita al solo server MCP. Spesso tutto inizia dai contenuti, dagli utenti, dai messaggi, dai link, dai file e dai flussi di lavoro che gli agenti gestiscono.

In questo contesto è rilevante l’approccio più ampio di Mimecast alla gestione di Human Risk. Aiutando le organizzazioni a proteggere gli utenti, i canali di comunicazione e i flussi di lavoro collaborativi, Mimecast può sostenere gli sforzi volti a ridurre il rischio di iniezione di prompt, la fuga di dati e le azioni non sicure degli agenti.

Per i team di sicurezza, l'obiettivo non è solo quello di bloccare un singolo server MCP dannoso o di esaminare un singolo strumento MCP. La necessità principale è quella di comprendere dove si manifesti l’attività dell’IA agente, in che modo essa si colleghi al comportamento umano e in quali flussi di lavoro sensibili possa essere necessaria una governance più rigorosa dell’IA.

Migliorare la sicurezza dei server MCP per l’intelligenza artificiale agentica

L'MCP può rendere gli agenti di intelligenza artificiale più utili collegandoli a strumenti aziendali, fonti di dati e applicazioni. Può aiutare gli agenti a individuare il contesto corretto, a richiamare i servizi autorizzati e a favorire flussi di lavoro aziendali più efficienti.

Con la crescente diffusione dell’IA agentica, la protezione dell’MCP entrerà a far parte di un programma di sicurezza dell’IA più ampio. Le organizzazioni devono sapere in che modo gli agenti si connettono ai sistemi, come vengono autenticati gli utenti e i dispositivi, come vengono gestiti i dati sensibili e come vengono individuate le istruzioni dannose prima che possano causare danni.

Mimecast Agentic AI Security può aiutare le organizzazioni a rafforzare la visibilità, la governance e la protezione nell’ambito dell’ambiente di intelligenza artificiale agentica. Per i team che sviluppano con MCP, questa visione più ampia può contribuire a ridurre i rischi, favorendo al contempo un’adozione più sicura dell’IA in tutta l’azienda.