La misma conectividad que hizo Protocolo de contexto maniquí (MCP) de Anthropic El tipificado de integración de IA recogido más rápidamente en 2025 ha creado el punto ciego más peligroso de la ciberseguridad empresarial.

Investigación fresco de Pynt cuantifica la creciente amenaza en términos claros e inequívocos. Su prospección expone el sorprendente sensación de red de las vulnerabilidades que aumentan cuanto más se utilizan complementos MCP. La implementación de solo diez complementos MCP crea una 92% de probabilidad de explotación. En tres servidores interconectados, aventura supera el 50%. Incluso un solo complemento MCP presenta una probabilidad de explotación del 9 % y la amenaza se agrava exponencialmente con cada suplemento.

La paradoja de seguridad de los MCP está generando uno de los riesgos de IA más importantes para las empresas.

La premisa de diseño de MCP comenzó con el objetivo encomiable de resolver el caos de integración de la IA. Anthropic optó por estandarizar la forma en que los modelos de jerigonza grandes (LLM) se conectan a herramientas y fuentes de datos externas, brindando lo que toda estructura que trabaja con modelos y fortuna de IA necesitaba desesperadamente: una interfaz universal para que los agentes de IA accedan a todo, desde API, servicios en la nimbo, bases de datos y más.

El extensión de Anthropic estuvo muy aceptablemente orquestado Ese MCP inmediatamente ganó fuerza entre muchas de las empresas de inteligencia industrial líderes en la industria, incluidas Google y Microsoft, quienes adoptaron rápidamente el tipificado. Ahora, casi nada diez meses posteriormente del extensión, hay Más de 16.000 servidores MCP implementados. en las empresas Fortune 500 sólo este año.

En el centro de la paradoja de seguridad de MCP se encuentra su veterano fortaleza, que es conectividad sin fricciones y integración generalizada con la pequeño fricción posible. Ese aspecto del protocolo es su veterano cariño. Seguridad no estaba integrado en el diseño central del protocolo. Autenticación sigue siendo opcional. Marcos de autorización Llegó hace casi nada seis meses en actualizaciones, meses posteriormente de que el protocolo hubiera experimentado implementaciones generalizadas. Combinados, estos dos factores están impulsando una rápida superficie de ataque en expansión donde cada nueva conexión multiplica el aventura, creando un sensación de red de vulnerabilidades.

"MCP presenta el mismo error que hemos trillado en cada implementación de protocolo importante: títulos predeterminados inseguros," advierte Merritt Baer, ​​director de seguridad de secreto ai y asesor de empresas como Andesite y AppOmini, dijo a VentureBeat en una entrevista fresco. "Si no incorporamos autenticación y privilegios mínimos desde el primer día, estaremos limpiando las infracciones durante la próxima decenio."

Fuente: Pynt, documentación sobre la cuantificación de la exposición al aventura en 281 MCP

Definición de aventura compositivo: cómo se rompe la seguridad a escalera

El prospección de Pynt. de 281 servidores MCP proporciona los datos necesarios para ilustrar los principios matemáticos que son fundamentales para el aventura de composición.

Según su prospección, el 72% de los MCP exponen capacidades confidenciales que incluyen ejecución dinámica de código, entrada al sistema de archivos y llamadas API privilegiadas, mientras que el 13% acepta entradas que no son de confianza, como web scraping, mensajes de Slack, correo electrónico o canales RSS. Cuando estos dos factores de aventura se cruzan, como ocurre en el 9% de las configuraciones de MCP del mundo existente, los atacantes obtienen vías directas para provocar inyecciones, ejecución de comandos y filtración de datos, a menudo sin aprieto de aprobación humana. Estas no son vulnerabilidades hipotéticas; son rutas de explotación activas y mensurables ocultas interiormente de las configuraciones MCP cotidianas.

"Cuando te conectas a un servidor MCP, no solo confías en tu propia seguridad, sino que heredas la higiene de cada útil, cada credencial, cada desarrollador de esa sujeción." Baer advierte. "Ese es un aventura para la sujeción de suministro en tiempo existente."

Fuente: Pynt, documentación sobre la cuantificación de la exposición al aventura en 281 MCP

Una pulvínulo cada vez veterano de exploits del mundo existente muestra que las vulnerabilidades de MCP son reales

Los equipos de investigación de seguridad de muchas de las empresas líderes de la industria continúan su trabajo para identificar exploits del mundo existente que MCP está viendo actualmente, por otra parte de aquellos que son de naturaleza teórica. El protocolo MCP continúa mostrando mayores vulnerabilidades en diferentes escenarios, siendo las principales las siguientes:

CVE-2025-6514 (CVSS9.6): El paquete MCP-remote, descargado más de 500.000 veces, conlleva una vulnerabilidad crítica que permite la ejecución arbitraria de comandos del sistema eficaz. "La vulnerabilidad permite a los atacantes activar la ejecución arbitraria de comandos del sistema eficaz en la máquina que ejecuta MCP-remote cuando inicia una conexión a un servidor MCP que no es de confianza, lo que compromete todo el sistema." advierte JFrog’s equipo de seguridad.

La puerta trasera MCP del matasellos: Seguridad Koi descubrió que el paquete npm matasellos-mcp había sido troyanizado para otorgar a los atacantes implícitamente "modo dios" entrada interiormente de los flujos de trabajo de IA. En la traducción 1.0.16, el actor solapado insertó una sola serie de código que ocultaba silenciosamente cada correo electrónico saliente a su dominio (por ejemplo, phan@giftshop.club), filtrando efectivamente notas internas, facturas y restablecimientos de contraseñas, todo sin originar alertas. Como investigadores koi ponlo: "Estos servidores MCP se ejecutan con los mismos privilegios que los propios asistentes de IA (entrada completo al correo electrónico, conexiones a bases de datos, permisos de API), pero no aparecen en ningún inventario de activos, omiten las evaluaciones de aventura de los proveedores y evitan todos los controles de seguridad, desde DLP hasta las puertas de enlace de correo electrónico."

Idan Dardikman, cofundador y director de tecnología de Koi Security, escribe en una publicación de blog fresco exponiendo cuán pernicioso es el paquete npm postmark-mcp, "Permítanme ser muy claro acerca de poco: los servidores MCP no son como paquetes npm normales. Se negociación de herramientas diseñadas específicamente para que los asistentes de IA las utilicen de forma autónoma."

"Si estás utilizando postmark-mcp traducción 1.0.16 o posterior, estás comprometido. Elimínelo inmediatamente y rote cualquier credencial que pueda acontecer quedado expuesta a través del correo electrónico. Pero lo más importante es auditar todos los servidores MCP que esté utilizando. Pregúntese: ¿Sabe positivamente quién creó estas herramientas en las que confía todo? " Escribe Dardikman. Él termina el correo con consejos sólidos: "Mantente paranoico. Con los MCP, la paranoia es simplemente sentido popular."

CVE-2025-49596: Oligo Seguridad expuso una vulnerabilidad crítica de RCE en MCP Inspector de Anthropic, lo que permite ataques basados ​​en navegador. "Con la ejecución de código en la máquina de un desarrollador, los atacantes pueden robar datos, instalar puertas traseras y moverse lateralmente a través de las redes." explica Avi Lumelsky, investigador de seguridad

El señal de los bits "Brinco de serie" Ataque: Los investigadores demostraron cuán solapado Servidores MCP inyectar indicaciones a través descripciones de herramientas manipular el comportamiento de la IA sin siquiera ser invocado explícitamente. "Esta vulnerabilidad explota la suposición errónea de que los humanos proporcionan una capa de defensa confiable," el equipo observa.

Las vulnerabilidades adicionales incluyen ataques de inyección rápida secuestrar el comportamiento de la IA, envenenamiento por herramientasmanipulación de metadatos del servidor, debilidades de autenticación donde los tokens pasan a través de servidores proxy que no son de confianza, y Ataques a la sujeción de suministro a través de paquetes npm comprometidos.

Primero es necesario diseñar la brecha de autenticación

Inicialmente, la autenticación y la autorización eran opcionales en MCP. El protocolo priorizó la interoperabilidad sobre la seguridad, asumiendo que las empresas agregarían sus propios controles. No lo han hecho. OAuth 2.0 La autorización finalmente llegó en marzo de 2025, refinada para OAuth 2.1 para junio. Pero miles de servidores MCP implementados sin autenticación siguen en producción.

Investigación académica de Universidad de la Reina analizó 1.899 servidores MCP de código amplio y encontró que el 7,2% contiene vulnerabilidades generales y el 5,5% exhibe envenenamiento de herramientas específicas de MCP. Investigación de Gartner (a través del documento Human-Machine Identity Blur de IBM) revela que las organizaciones implementan 45 herramientas de ciberseguridad, pero administran de guisa efectiva solo el 44% de las identidades de las máquinas, lo que significa que la centro de las identidades en los ecosistemas empresariales podrían ser invisibles y no administradas.

Delimitar una organización integral de defensa del MCP es poco que está en articulación

Delimitar una organización de defensa MCP multicapa ayuda a cerrar las brechas que quedan en la estructura del protocolo llamativo. Las capas definidas aquí buscan reunir salvaguardas arquitectónicas y medidas operativas inmediatas para dominar la superficie de amenazas de una estructura.

Capa 1: comience con el dominio más débil de MCP, que es la autenticación y los controles de entrada.

La mejoramiento de los controles de autenticación y entrada debe comenzar con la aplicación OAuth 2.1 para cada puerta de enlace MCP en una estructura. Gartner señala que las empresas que aplican estas medidas reportan un 48% menos de vulnerabilidades, un 30% mejor de acogida por parte de los usuarios y un monitoreo centralizado del servidor MCP. "Las puertas de enlace MCP sirven como intermediarios de seguridad esenciales," escribe la firma de investigación, al proporcionar catálogos de servidores unificados y monitoreo en tiempo existente.

Capa 2: Por qué las capas semánticas son importantes en la seguridad contextual

Las capas semánticas son esenciales para cumplimentar un veterano contexto a cada osadía de entrada, garantizando que los agentes de IA trabajen solo con datos estandarizados, confiables y verificables. La implementación de capas semánticas ayuda a dominar la sobrecarga operativa, mejoramiento la precisión de las consultas en jerigonza natural y ofrece la trazabilidad en tiempo existente que necesitan los líderes de seguridad. VentureBeat considera que la actos de incorporar políticas de seguridad directamente en el entrada a los datos contribuye a dominar los riesgos de infracción y a flujos de trabajo de prospección agentes más seguros.

Capa 3: los gráficos de conocimiento son esenciales para la visibilidad

Por definición, los gráficos de conocimiento conectan entidades, activos analíticos y procesos comerciales, lo que permite a los agentes de IA efectuar de forma transparente y segura interiormente de un contexto organizacional. Gartner destaca esta capacidad como fundamental para el cumplimiento normativo, la auditabilidad y la confianza, especialmente en consultas y flujos de trabajo complejos. Merritt Baer subraya la aprieto: "Si está utilizando MCP hoy, ya necesita seguridad. Las barreras de seguridad, el monitoreo y los registros de auditoría no son opcionales: son la diferencia entre innovación con y sin mitigación de riesgos." aconseja Baer.

Plan de bono recomendado para líderes de seguridad

VentureBeat recomienda a los líderes de seguridad que tienen integraciones basadas en MCP activas en sus organizaciones que tomen las siguientes cinco acciones de precaución para proteger su infraestructura:

1. Convierta en una actos la implementación de MCP Gateways haciendo cumplir primero OAuth 2.1 y Conexión OpenID mientras centraliza el registro del servidor MCP.

2. Defina cómo su infraestructura puede albergar una bloque de seguridad en capas con capas semánticas y gráficos de conocimiento anejo con puertas de enlace.

3. Convierta la actividad de realizar auditorías regulares de MCP a través del modelado de amenazas, el monitoreo continuo y la formación de equipos rojos en la memoria muscular de sus equipos de seguridad, para que se haga por reflexivo.

4. Limite el uso del complemento MCP solamente a los complementos esenciales; recuerde: 3 complementos = 52% de aventura, 10 complementos = 92% de aventura.

5. Invierta en seguridad específica de IA como una categoría de aventura distinta interiormente de su organización de ciberseguridad.