MCP huller lader én agent styre den næste
Fem organisationer har anerkendt sårbarheder, onde instruktioner hopper mellem AI-agenter gennem tillidsgap i MCP.
Fem organisationer bekræftede sårbarheder i MCP
Fem organisationer har i løbet af de seneste fem måneder anerkendt sårbarheder i MCP – den protokol, AI-apps og agenter bruger til at tale sammen i et internt netværk. Det er den uafhængige forsker Syed Anas Mohiuddin, der har testet agenter hos blandt andre Google, JP Morgan Chase, Weviate og Rapid7.
Sårbarhederne udnytter, at en agent stoler blindt på en anden. Når en agent modtager en instruktion, sender den den videre som en normal opgave til næste agent – uden at kontrollere, om instruktionen er skadelig.
- Alvorlighedsgrad af Googles MCP-sårbarhed i databasens toolbox
- 8/10
- Alvorlighedsgrad af CVE-2026-97228 i Rapid7s netværk, rettet sidste måned
- 2,7/10
- Organisationer med anerkendte MCP-sårbarheder på fem måneder
- 5
Angreb hopper mellem protokoller
Mohiuddin kalder teknikken for protokol-pivotering. En app bruger MCP til at tildele en opgave til en agent, som videresender skadelige instruktioner via en anden protokol – for eksempel Googles Agent-to-Agent (A2A), der bruges til at delegere opgaver mellem agenter.
I mange tilfælde fører en skræddersyet instruktion til en SSRF – en sårbarhed, der får en webserver til at foretage uautoriserede netværkskald. Googles sårbarhed i MCP-toolboxen for databaser fik alvorlighedsgrad 8 ud af 10, fordi den hverken validerede IP-adresser eller kontrollerede omdirigeringer.
MCP er udbredt før sikkerhedstest
MCP er ny og allerede udbredt, før protokollen er tilstrækkeligt testet. Organisationer har i iveren efter at bygge systemer med mange AI-agenter opgivet princippet om zero trust, hvor man antager, at enhver del af netværket kan være inficeret og derfor kræver autorisation før følsomme transaktioner.
Sikkerhedsforskeren Markus Vervier fra X41 D-Sec mener, at teknikken bedst kaldes indirekte prompt injection – en klassisk sårbarhed i nyt format. Douglas McKee fra Rapid7 påpeger, at de underliggende fejl er injection og SSRF, og at løsningerne ikke har ændret sig i 20 år.
Flere detaljer
- Google tilføjede tilladelsesliste over IP-intervaller og bloklister som rettelse.
- Angrebet udnytter tillid mellem agenter, ikke en fejl i selve LLM'en.
- A2A er Googles protokol til at delegere opgaver mellem AI-agenter.
Kilder:
Ars Technica AI →
Genfortalt i egne ord af AI-nyheder.com · AI-genereret illustration · Tjek altid originalkilden, før du handler på vigtige oplysninger.