State of MCP Security 2026: поверхность атаки агентов становится отдельной темой

Первый специализированный отчёт по безопасности MCP описывает растущий долг, который увеличивается быстрее, чем сам экосистем.

Простыми словами

Первый специализированный отчёт — « State of MCP Security 2026 » от Canopii — каталогизирует уязвимости и плохие практики экосистемы Model Context Protocol. Вывод однозначен: безопасность не успевает за темпом внедрения.

Факт

Опубликован 12 июля 2026 года (PDF от Canopii), отчёт анализирует публичные и приватные серверы MCP и выявляет несколько классов слабостей: exposed токены/учётные данные, отсутствие проверки происхождения на стороне сервера, инъекции промптов через описания инструментов, нефиксированные зависимости и избыточно разрешительное управление скоупами.

Анализ

MCP стремительно развивался в 2025–2026 годах, потому что решает реальную проблему: подключение LLM к инструментам без написания N интеграций. Но скорость внедрения обогнала гигиену. Выделяются три основные паттерны:

1. Инъекция через описание инструмента: сервер MCP контролирует текст, который видит LLM — он может внедрять скрытые инструкции, перенаправляющие агента. Классика, известная проблема, но мало защитных механизмов в клиентах для массового пользователя.
2. Грубая гранулярность credentials: многие серверы требуют OAuth-токен со слишком широкими скоупами, используемый для всех инструментов без ротации.
3. Путаница между серверами: когда агент использует 5 серверов MCP, ни один стандартный механизм не отслеживает происхождение результата инструмента. Скомпрометированный сервер может снабжать другой сервер инструкциями.

Под капотом

Отчёт оценивает (подтверждение потребуется от сторонних аудитов), что ~40 % протестированных публичных серверов MCP экспонируют хотя бы один секретный ключ в репозитории или конфигурации по умолчанию, а ~65 % не реализуют проверку происхождения вызовов. В отчёте предлагается чек-лист из 12 пунктов: строгая фиксация версий, минимальные скоупы, подписание описаний инструментов, журналирование по запросу и sandbox на сервер.

Сценарии

• Стандартизация (50 %): Anthropic и OpenAI опубликуют до Q4 2026 профиль MCP «secure by default» с криптографической проверкой инструментов.
• Фрагментация (35 %): каждый клиент внедряет свои меры защиты, экосистема делится на «MCP для массового пользователя» и «MCP для enterprise».
• Крупный инцидент (15 %): публичный breach заставит индустрию ускориться — наиболее вероятный сценарий для Q1 2027.

Что делать

Для CTO, внедряющего агентов: относиться к MCP как к стороннему коду без аудита. Sandbox на сервер, строгие скоупы, ручная проверка описаний инструментов, мониторинг выходных данных агента. Для инвестора: слой безопасности MCP становится реальным рынком — ожидайте появления 2–3 специализированных стартапов, которые привлекут инвестиции в течение 6 месяцев.

На что обратить внимание

Выход профиля hardened MCP от Anthropic или OpenAI, публикация CVE на популярный сервер MCP и первая покупка стартапа в области безопасности MCP крупным игроком кибербезопасности.