State of MCP Security 2026 : la surface d'attaque des agents devient un sujet à part entière

In plain terms

Un premier rapport dédié - « State of MCP Security 2026 » de Canopii - recense les vulnérabilités et les mauvaises pratiques de l'écosystème Model Context Protocol. Le message est net : la sécurité n'a pas suivi la vitesse d'adoption.

Le fait

Publié le 12 juillet 2026 (PDF Canopii), le rapport analyse des serveurs MCP publics et privés, et identifie plusieurs classes de faiblesses : token/credentials exposés, absence de contrôle d'origine côté serveur, injection de prompt via descriptions d'outils, dépendances non pinnées, et gestion permissive des scopes.

Analyse

MCP a explosé en 2025-2026 parce qu'il résout un vrai problème : brancher les LLM sur des tools sans coder N intégrations. Mais la vitesse d'adoption a court-circuité l'hygiène. Trois patterns ressortent :

1. Injection par description d'outil : le serveur MCP contrôle le texte que le LLM voit - il peut donc pousser des instructions cachées qui détournent l'agent. Classique, connu, mais peu de garde-fous dans les clients grand public.
2. Credentials à granularité grossière : beaucoup de serveurs demandent un token OAuth avec des scopes trop larges, réutilisés pour tous les tools, sans rotation.
3. Confusion cross-serveur : quand un agent enchaîne 5 serveurs MCP, aucun mécanisme standard ne trace l'origine d'un tool result. Un serveur compromis peut nourrir un autre en instructions.

Under the hood

Le rapport chiffre (à confirmer par audits tiers) que ~40 % des serveurs MCP publics testés exposent au moins une clé secrète dans leur repo ou config par défaut, et que ~65 % n'implémentent pas de check d'origine sur les appels. Il propose une checklist en 12 points : pinning strict des versions, scopes minimaux, signature des tool descriptions, journalisation à la demande, et sandbox par serveur.

Scénarios

• Standardisation (50 %) : Anthropic et OpenAI publient d'ici Q4 2026 un profil MCP « secure by default » avec vérification cryptographique des tools.
• Fragmentation (35 %) : chaque client fait son propre durcissement, l'écosystème se scinde en « MCP grand public » et « MCP entreprise ».
• Incident majeur (15 %) : un breach visible force l'industrie à accélérer - scénario le plus probable pour Q1 2027.

So what

Pour un CTO qui déploie des agents : traiter MCP comme du code tiers non audité. Sandbox par serveur, scopes stricts, revue manuelle des descriptions d'outils, monitoring des sorties d'agent. Pour un investisseur : la couche sécurité MCP devient un vrai marché - attendez-vous à voir 2-3 startups spécialisées lever d'ici 6 mois.

À surveiller

Un profil MCP durci publié par Anthropic ou OpenAI, un CVE public sur un serveur MCP populaire, et le premier rachat de startup MCP-security par un acteur cyber établi.