Auditing MCP Servers for Over-Privileged Tool Capabilities

1. 문제 정의 (Problem)

• 배경: 대규모 언어 모델 (LLM) 에이전트가 외부 도구 및 데이터에 연결하기 위해 모델 컨텍스트 프로토콜 (MCP, Model Context Protocol) 을 표준으로 채택하고 있습니다.
• 위협: MCP 서버는 파일 시스템 접근, 네트워크 요청, 명령어 실행 등 특권화된 기능 (Privileged Capabilities) 을 노출할 수 있으며, 이를 적절히 보호하지 않으면 악용될 위험이 큽니다.
• 기존 도구의 한계:
  • 기존 정적 애플리케이션 보안 테스트 (SAST) 도구는 MCP 특유의 메타데이터 (도구 설명, 메타데이터) 를 모델링하지 못해, 도구 정의에서 노출된 능력을 직접 식별하지 못합니다.
  • 기존 취약점 스캐너는 패키지 의존성이나 컨테이너 설정 오류에 집중할 뿐, 도구 정의에서 유추된 런타임 능력을 파악하지 못합니다.
  • 런타임 정책 강제에 초점을 맞춘 방어 체계는 사전 배포 단계의 감사가 부족합니다.

2. 방법론 (Methodology)

저자들은 mcp-sec-audit 라는 확장 가능한 보안 평가 툴킷을 제안했습니다. 이 도구는 MCP 서버의 구현 코드와 MCP 도구 메타데이터를 모두 분석하여 배포 전 위험을 식별하고 완화 방안을 제시합니다.

핵심 아키텍처 및 분석 흐름

시스템은 제어 평면 (Control Plane), 핵심 분석 평면 (Core Analysis Plane), 출력 생성 평면 (Output Synthesis Plane) 으로 구성되며, 이중 스트림 (Dual-stream) 분석 방식을 사용합니다.

1. 정적 분석 (Static Analysis):

   • 대상: Python 소스 코드 및 MCP 도구 메타데이터 (JSON/TOML).
   • 방식: TOML 기반의 규칙서 (규칙 키워드, 정규식) 를 사용하여 위험한 패턴 (예: subprocess.run, open(..., 'w')) 을 매칭합니다.
   • 특징: 도구 정의서 (Tool Descriptions) 에서의 위험한 기능 (명령 실행, 파일 쓰기 등) 을 식별합니다.

2. 동적 분석 (Dynamic Analysis - 선택 사항):

   • 환경: 격리된 Docker 샌드박스.
   • 방식:
     • 프로토콜 퍼징 (Protocol Fuzzing): 악성 페이로드 (명령어 주입, 경로 이동 등) 를 도구 엔드포인트에 주입합니다.
     • eBPF 모니터링: Linux 커널 레벨의 eBPF 프로브를 사용하여 시스템 호출, 파일 I/O, 네트워크 연결 등의 런타임 지표를 포착합니다.
     • 로그: 수집된 이벤트는 CEF(Common Event Format) 로그로 직렬화되어 행동 분석에 사용됩니다.

3. 결과 종합 및 완화 (Output & Mitigation):

   • 리스크 점수화: 감지된 기능의 신뢰도 가중치 합산으로 리스크 수준 (Low ~ Critical) 을 산정합니다.
   • 완화 제안: 감지된 기능 (예: file_write) 에 따라 Docker 격리, 읽기 전용 마운트, 네트워크 제한 등 구체적인 배포 강화 가이드를 자동 생성합니다.

3. 주요 기여 (Key Contributions)

1. 감사 프레임워크: MCP 서버의 고위험 기능을 자동 식별하고, 최소 권한 (Least-privilege) 컨테이너 및 파일 시스템 권장 사항을 포함한 실행 가능한 완화 지침을 제공하는 프레임워크.
2. 모듈형 파이프라인 아키텍처: TOML 기반의 정적 파이프라인 (키워드/정규식 매칭) 과 eBPF 기반의 동적 파이프라인 (샌드박스 실행 및 지수 수집) 을 통합.
3. 프로토콜 인식 감지: Python 소스 코드와 MCP 메타데이터를 동시에 분석하는 프로토콜 특화 정적 감지기 개발.
4. 완화 추천 엔진: 감지된 기능을 배포 강화 권장 사항 (예: no-new-privileges 실행) 에 매핑하는 엔진.
5. 확장 가능한 플러그인 시스템: 파이프라인 로직을 수정하지 않고도 새로운 감지기를 추가할 수 있는 경량 레지스트리 추상화.

4. 평가 결과 (Evaluation Results)

저자들은 세 가지 실험을 통해 도구를 평가했습니다.

• MCPTox 벤치마크 (45 개 실제 MCP 서버):

  • 탐지율: 491 개 샘플 중 367 개 (74.7%) 를 탐지. (메타데이터에 명시된 지표가 있는 경우 100% 탐지).
  • 주요 발견: file_write(179 건), tool_sequence_hijack(136 건), prompt_injection(87 건) 등이 가장 빈번하게 탐지됨.
  • 총 탐지 수: 663 개의 기능 인스턴스.

• 취약성 랩 (Vulnerable MCP Servers Lab, 9 개 서버):

  • 정적 분석: Python 기반 서버 2/2 탐지 (100%), JavaScript 기반 서버 0/7 탐지 (0%, AST 파싱 한계로 인해).
  • 동적 분석: 모든 9 개 서버 (Python 2 개 + JavaScript 7 개) 를 100% 탐지.
  • 성능: 동적 분석은 언어에 구애받지 않으며, 정적 분석보다 평균 36.2 점 높은 리스크 점수를 부여하여 런타임 증거를 더 정확히 반영함.
  • 예시: malicious-code-exec(JS) 서버는 정적 분석에서는 탐지되지 않았으나, 동적 분석에서 eval() RCE 실행 증거를 포착하여 HIGH 리스크 (65.3 점) 로 판정.

• 성능: 정적 분석은 Docker 없이 2 초 미만 완료.

5. 의의 및 한계 (Significance & Limitations)

의의

• 선제적 보안: 런타임 방어 (프롬프트 필터링 등) 와 보완적으로 작용하여, 배포 전 (Pre-deployment) 단계에서 MCP 서버의 과도한 권한을 차단합니다.
• 프로토콜 특화: 기존 SAST 도구가 놓치는 MCP 프로토콜 특유의 메타데이터와 도구 정의 기반의 위험을 식별합니다.
• 실용성: CI/CD 파이프라인 통합, 웹 대시보드, JSON/Markdown 리포트 생성 등을 통해 실제 DevSecOps 환경에 적용 가능합니다.

한계 및 향후 과제

• 언어 지원: 현재 정적 분석은 Python 과 JSON 만 지원하며, JavaScript/TypeScript 에 대한 AST 파싱이 미흡합니다.
• 오검출 (False Positives/Negatives): 패턴 기반 감지는 오탐 (안전한 코드와 위험 키워드 매칭) 또는 누락 (우회된 호출) 가능성이 있으며, LLM 기반 의미 분석과의 하이브리드 접근이 필요합니다.
• 동적 분석 환경: eBPF 지원 Linux 와特权 Docker 컨테이너가 필요하여 macOS 나 Windows 환경에서의 배포가 어렵습니다.
• 완화 구체성: 현재 권장 사항이 일반적이므로, 세분화된 정책 템플릿 (seccomp 프로파일 등) 과 배포-ready 설정 파일 (Dockerfile 등) 생성 기능이 필요합니다.

결론

이 논문은 LLM 에이전트 생태계의 핵심 인프라인 MCP 서버의 보안 취약점을 해결하기 위해, 정적 코드 분석과 동적 샌드박스 모니터링을 결합한 최초의 전용 감사 도구를 제안합니다. 이를 통해 개발자는 배포 전 과도한 권한을 식별하고 최소 권한 원칙에 따라 시스템을 강화할 수 있게 되었습니다.