В продолжение постов про MCP.

В чат входит американская разведка. Буквально позавчера они выпустили рекомендации по безопасности MCP.

MCP быстро пошел в реальные внедрения, а безопасность у него сильно зависит от конкретной реализации. Сам протокол удобный и гибкий, но многие важные вещи он не гарантирует автоматически: проверку доступа, разделение прав, безопасную передачу данных, подтверждение действий, защиту сессий, журналы событий.

Из-за этого появляются вполне понятные риски. Агент может получить слишком широкие права. Один инструмент может передать лишний контекст другому. Вредная инструкция может прийти не от пользователя напрямую, а через подключенный сервис. Результат работы одного агента может стать командой для следующего. А если всё это плохо логируется, потом еще и непонятно, кто именно что сделал.

Рекомендации NSA довольно приземленные:

Использовать поддерживаемые MCP-проекты, а не заброшенные репозитории. По возможности держать MCP-серверы локально, если речь о чувствительных данных. Разделять инструменты по уровню доверия. Не смешивать публичные источники и доступ к важным внутренним системам. Проверять все параметры перед выполнением. Ограничивать передачу данных между инструментами. Запускать инструменты в изоляции и с минимальными правами. Подписывать и проверять сообщения. Фильтровать результаты перед передачей дальше. Логировать вызовы агентов и регулярно искать в сети открытые или неавторизованные MCP-серверы.

То есть документ полезный не потому, что там открыли миру что-то неожиданное. Он полезный как чеклист для тех, кто уже внедряет AI-агентов в рабочую инфраструктуру.

Ну и да, это первый государственный документ и стейтмент : MCP уже становится инфраструктурным слоем для AI-агентов, но его security-модель пока слишком сырая для продакшена без дополнительных контролей.

@gostev_future