❕ Самая быстрорастущая поверхность атаки — MCP-серверы

Забудем на минуту про промпт-инъекции и галлюцинации. Почти все системы с ИИ-агентами основаны на новом протоколе MCP, а большинство MCP-серверов содержат опасные уязвимости из базового набора appsec.

Для понимания масштаба — протокол был представлен Anthropic в ноябре 2024 года, и почти сразу был прозван «USB-C для ИИ-агентов» из-за своей универсальности, позволяющей дать ИИ-агенту доступ к произвольным инструментам и системам, от запуска команд оболочки до внесения правок в Figma. Чуть больше чем за год MCP взяли на вооружение все крупные ИТ-компании, а на GitHub появилось более 10 тысяч серверов для различных задач.

С безопасностью у этих скороспелых серверов не очень:

❗️ 82% из 2600 проверенных серверов используют файловые операции, подверженные CWE-22, уязвимости обхода пути;
🪲 67% используют API, допускающие инъекцию кода, а 34% — инъекцию команд (CWE-94 и CWE-78);
🔴38% серверов в официальном реестре MCP не имеют вообще никакой аутентификации на уровне протокола MCP;
🟠ещё по 5-7% подвержены межсайтовому выполнению скриптов и инъекциям SQL (CWE-79 и CWE-89);
🟣в другом исследовании в публичном Интернете обнаружили 492 сервера, не имеющих вообще никакой аутентификации и никакого шифрования трафика.

Характерный инцидент произошёл в январе 2026 года — в сервере mcp-server-git, написанном разработчиками Anthropic, нашли три уязвимости. Это сервер является частью модельной реализации MCP, рекомендуемой другим разработчикам. Три уязвимости с CVSS 6.3-6.5 являются классическими дефектами обхода пути и инъекции команд, которые были скопированы и вставлены в десятки других MCP-серверов. В течение следующего месяца в серверах MCP было найдено 30 CVE, из которых 43% — это отправка пользовательского ввода прямиком на выполнение (exec()) без фильтрации. 🤦‍♂️

Сам протокол MCP за год тоже эволюционировал, и все три обновления спецификации добавляли улучшения безопасности: OAuth 2.1, Streamable HTTP, структурированный вывод и многое другое. Но судя по результатам тестов, разработчики не торопятся внедрять в свои MCP-серверы все эти улучшения, поэтому вероятность подключить к своему ИИ-агенту или ИИ-ассистенту небезопасный сервер, очень велика. Особенно с учётом того, что для публикации в официальном реестре MCP-серверов не требуется соблюдать какие-либо меры ИБ.

Вывод, в общем, прост — если в организации используются ИИ-системы и MCP, уже сейчас надо строить свой доверенный реестр проверенных MCP-серверов, подключать серверы только из него, а пополнять его только по результатам подробного анализа каждого нового MCP-сервера. Даже одобренные серверы должны работать с подробным журналированием, а телеметрию с них нужно отслеживать в SIEM/XDR/NDR для поиска аномалий.
Иначе MCP станет таким минным полем, что про ВПО в npm и 10-балльные уязвимости в Cisco мы будем вспоминать с ностальгией.

#AI #уязвимости @П2Т

😀😀😀😀😀😀😀😀

ЭТО ПРАЙМ ГИГАЧАТ 😉

ИИ-помощник от Сбера точно переживает свою прайм-эру. Иначе как объяснить это обновление? 🤩

🤩 Работает в два раза быстрее благодаря архитектуре Mixture of Experts (MoE)

🤩 При общении голосом мгновенно ищет актуальный ответ на вопрос в интернет-источниках

🤩 Запоминает информацию, важную для вас, чтобы делать общение более персонализированным. Функцию можно включить и выключить в настройках в любой момент

🤩 Позволяет строить собственные продукты и сервисы на базе обновлённой модели GigaChat Ultra , которую выложили в открытый доступ

Всё это — благодаря трём этапам обучения, в которых модель расширила кругозор, улучшила специализированные навыки и закрепила прогресс настройкой на примерах.

Потестить флагманскую версию ГигаЧат можно по ссылке ↖️

✔️ Подписывайтесь на Sber AI в MAX