State of MCP Security 2026: поверхность атаки агентов становится самостоятельной темой

Первый специализированный отчёт по безопасности MCP фиксирует растущий долг, который увеличивается быстрее, чем сам экосистема.

Простыми словами

Первый специализированный отчёт — « State of MCP Security 2026 » от Canopii — фиксирует уязвимости и плохие практики экосистемы Model Context Protocol. Вывод однозначен: безопасность не успевает за темпом внедрения.

Факт

Опубликован 12 июля 2026 года (PDF от Canopii), отчёт анализирует публичные и приватные серверы MCP и выявляет несколько классов слабостей: exposed токены/credentials, отсутствие проверки происхождения на стороне сервера, инъекции промптов через описания инструментов, нефиксированные зависимости и избыточные разрешения (scopes).

Анализ

MCP стремительно развивался в 2025–2026 годах, потому что решает реальную проблему: подключение LLM к инструментам без написания N интеграций. Но темпы внедрения обогнали безопасность. Выделяются три основные проблемы:

1. Инъекция через описание инструмента: сервер MCP контролирует текст, который видит LLM, и может внедрять скрытые инструкции, перенаправляющие агента. Классическая атака, известная проблема, но мало защищена в публичных клиентах.
2. Грубые credentials: многие серверы требуют OAuth-токен с избыточными разрешениями, используемыми для всех инструментов без ротации.
3. Путаница между серверами: когда агент использует 5 серверов MCP, ни один стандартный механизм не отслеживает происхождение результата инструмента. Скомпрометированный сервер может передавать инструкции другому.

Под капотом

Отчёт оценивает (подтверждение потребует стороннего аудита), что ~40 % протестированных публичных серверов MCP по крайней мере один секретный ключ в репозитории или конфигурации по умолчанию, а ~65 % не реализуют проверку происхождения вызовов. В отчёте предлагается чек-лист из 12 пунктов: строгая фиксация версий, минимальные scopes, подписывание описаний инструментов, журналирование по запросу и sandbox для каждого сервера.

Сценарии

• Стандартизация (50 %): Anthropic и OpenAI опубликуют до Q4 2026 профиль MCP «secure by default» с криптографической проверкой инструментов.
• Фрагментация (35 %): каждый клиент внедряет свои меры защиты, экосистема делится на «MCP для массового рынка» и «MCP для предприятий».
• Крупный инцидент (15 %): публичный взлом ускорит отрасль — наиболее вероятный сценарий на Q1 2027.

Что делать

Для CTO, внедряющего агентов: относитесь к MCP как к неаудированному стороннему коду. Sandbox для каждого сервера, строгие scopes, ручная проверка описаний инструментов, мониторинг выходных данных агента. Для инвестора: слой безопасности MCP становится отдельным рынком — ожидайте появления 2–3 стартапов, специализирующихся на безопасности MCP, которые привлекут инвестиции в течение 6 месяцев.

На что обратить внимание

Выход профиля MCP с усиленной безопасностью от Anthropic или OpenAI, публичный CVE на популярный сервер MCP и первая покупка стартапа в области безопасности MCP крупным игроком кибербезопасности.