Technische Samenvatting: Exposed by Design

Probleemstelling

De Model Context Protocol (MCP), uitgebracht door Anthropic in november 2024, is razendsnel de de facto integratielaag geworden voor agentic AI-toepassingen, waarbij Large Language Models (LLMs) worden verbonden met externe tools en databronnen. Hoewel de adoptie is gestegen naar meer dan 21.000 publiekelijk bereikbare serverinstanties, blijft de beveiligingspositie van deze implementaties grotendeels onkarakteriseerd.

Bestaand beveiligingsonderzoek is verdeeld in theoretische dreigingsmodellering of statische analyse van registry-vermeldingen en broncode. Deze benaderingen falen in het vastleggen van de runtime-beveiligingspositie van live, internetgeoriënteerde servers. Het artikel identificeert een kritieke kloof: het gebrek aan empirische gegevens over de prevalentie van kwetsbaarheden in gedeponeerde MCP-servers, in het bijzonder die voortvloeien uit het unieke ontwerp van het protocol waarbij beschrijvingen van tools in natuurlijke taal structureel gekoppeld zijn aan code-executie. De auteur stelt dat de minimale drempel om services als MCP-endpoints te exposeren heeft geleid tot een landschap van implementaties dat opereert onder de beveiligingsbaseline van conventionele internetdiensten, gekenmerkt door een gebrek aan authenticatie, geëxponeerde shell-executiecapaciteiten en snelle, efemere deploymentcycli.

Methodologie

De studie hanteert een tweefasige methodologie die passieve ontdekking combineert met actieve dynamische gedragstests.

1. Passieve Ontdekking (Petrel)

De auteur heeft Petrel ontwikkeld, een ontdekkingspipeline die kandidaten aggregeert uit elf heterogene databronnen om de dekking van het MCP-ecosysteem te maximaliseren:

• Certificate Transparency Logs: crt.sh voor SSL/TLS-certificaten met MCP-indicatieve substrings.
• Developer Platforms: GitHub (topic searches, filename matching), HuggingFace Spaces, en npm/PyPI-registries.
• Gespecialiseerde Registries: Smithery, glama.ai, en pulsemcp.com.
• Internet Scanners: Censys, FOFA, en Shodan.

Kandidaten ondergaan actieve HTTP-fingerprinting om live MCP-servers te onderscheiden van fout-positieven. Petrel probeert zowel de huidige Streamable HTTP-transport (via POST met een JSON-RPC initialize verzoek) als de legacy SSE-transport. Alleen servers die reageren met geldige protocolhandshakes worden bevestigd voor testen.

2. Dynamische Beveiligingstests (Corvus)

De auteur introduceert Corvus, een open-source framework ontworpen voor dynamische gedragsbeoordeling. Corvus onderwerpt bevestigde servers aan 34 testmodules (13 statisch, 21 dynamisch) die de MCP Security Top 10 (MST-10) bestrijken, een nieuwe kwetsbaarheidstaxonomie afgeleid van de bevindingen van de studie.

• Executiemodel: Corvus maakt gebruik van een gemultiplext StdioTransport reader loop om JSON-RPC verzoeken te pipelinen, wat high-throughput testen over parallelle groepen mogelijk maakt.
• Teststrategieën:
  • Tool Poisoning: Het injecteren van schaduw-tooldefinities om te testen op dynamische mutatie (rug-pull aanvallen).
  • Injectie: Het indienen van vervormde payloads om te testen voor SQL-injectie, command-injectie en prompt-injectie via tool-outputs.
  • SSRF & URI Manipulatie: Het testen van resource URIs en paginering cursors op path traversal en Server-Side Request Forgery (SSRF) tegen cloud metadata services (bijv. AWS IMDS).
  • Schema Bypass: Het fuzzen van JSON-RPC berichten om parser-ambiguïteiten te identificeren.
• Output: Bevindingen worden gescoord op betrouwbaarheid (0–100) en uitgevoerd in SARIF 2.1.0 formaat. Bevindingen met een hoge betrouwbaarheid ondergaan handmatige triage en worden gerapporteerd via GitHub Security Advisories (GHSA) onder een 90-dagen gecoördineerde disclosure embargo.

Belangrijkste Bijdragen

Het artikel levert vijf primaire bijdragen:

1. Eerste Dynamische Gedragsbeoordeling: De eerste grootschalige, dynamische beveiligingsaudit van internetgeoriënteerde MCP-servers, waarbij 640 unieke productie-implementaties zijn bevestigd en 414 daarvan zijn geaudit.
2. Corvus Framework: De release van een open-source tool die 34 testmodules implementeert over alle 10 de MST-10 categorieën, met ondersteuning voor zowel Streamable HTTP als SSE transports.
3. Multi-Source Ontdekkingsmethodologie: Een demonstratie dat geen enkele databron de MCP-populatie adequaat kan vatten, wat een pipeline vereist die elf bronnen beslaat om een volledige dekking te bereiken.
4. Karakterisering van Deployment Churn: Empirisch bewijs van een 41,6% server-verdwijnpercentage binnen 72 uur, wat wijst op een deploymentmodel dat wordt gedreven door efemere experimentatie in plaats van stabiele operationele beveiliging.
5. Verantwoord Disclosure Pipeline: De identificatie en verantwoorde disclosure van 68 kwetsbaarheden, waaronder SQL-injectie, SSRF en prompt template injectie, waarvan er 19 publiekelijk zijn vrijgegeven en 49 onder embargo waren op het moment van schrijven.

Resultaten

Over vier meetruns in juli 2026 leverde de studie de volgende resultaten op:

• Authenticatiegebreken: 91,8% van de dynamisch geauditeerde servers (380/414) mist OAuth-authenticatie. De meerderheid opereert zonder authenticatie of met statische, voorspelbare bearer tokens.
• Niet-geauthenticeerde Shell Executie: 687 tool-instanties binnen de bevestigde serverpool exposeren shell-executiecapaciteiten (bijv. bash_execute, run_command) zonder enige toegangscontrole, waardoor remote code execution mogelijk is voor elke netwerkadversary.
• Prevalentie van Kwetsbaarheden: De studie identificeerde 68 rapporteerbare kwetsbaarheden. Kritieke bevindingen zijn:
  • SQL Injection: Bevestigd via response-size differentials in een corpus search tool.
  • SSRF: Bevestigd via timing oracles (11,9s latentie versus 0,3s baseline) bij het targeten van de AWS Instance Metadata Service.
  • Prompt Template Injection: Bevestigd door controle-sequenties te injecteren die systeeminstructies in een AI-assistent overschreven.
  • Path Traversal: Bereikt via cursor manipulatie in paginering primitives.
• Ecosysteem Churn: 41,6% van de servers die in één meetrun werden bevestigd, waren 72 uur later onbereikbaar. Deze churn rate suggereert dat veel servers transiënte artefacten zijn van CI/CD-pipelines of developer experimentatie, wat langdurige monitoring en patch-verificatie bemoeilijkt.

Betekenis en Claims

Het artikel claimt de eerste empirische baseline te bieden voor de beveiligingspositie van het MCP-ecosysteem. De betekenis ligt in het verschuiven van het begrip van MCP-beveiliging van theoretische dreigingsmodellering naar de geobserveerde realiteit.

De auteur voert aan dat de beveiligingsrisico's structureel zijn, niet accidenteel. Het protocol is primair ontworpen voor lokale stdio transport, waarbij OS-procesisolatie voor beveiliging zorgt. De daaropvolgende toevoeging van HTTP-transport, zonder evenredige beveiligingsstandaarden (zoals verplichte OAuth), heeft geresulteerd in een "pad van de minste weerstand" die standaard ongeauthenticeerde, internetgeoriënteerde servers produceert.

De studie concludeert dat het MCP-ecosysteem momenteel opereert onder de minimale operationele beveiligingsbaseline van conventionele internetdiensten. De combinatie van ongeauthenticeerde shell-executie, de afwezigheid van authenticatielagen en snelle, efemere deploymentcycli creëert een aanvalsoppervlak waar kwetsbaarheden niet alleen prevalent maar ook gemakkelijk exploiteerbaar zijn. De auteur stelt dat hun werk aantoont dat MCP-beveiliging een actief, exploiteerbaar aanvalsoppervlak is dat onmiddellijke aandacht vereist van SDK-ontwikkelaars, platformproviders en registry-operators om beveiligingsstandaarden af te dwingen en disclosure-mechanismen te verbeteren.