🔒 MCP Security Guide от CoSAI

Coalition for Secure AI (OASIS Open Project) выпустила серьёзный гайд по безопасности Model Context Protocol.

Масштаб работы:
12 категорий угроз
~40 конкретных векторов атак
Практические рекомендации для каждой угрозы

Ключевые категории угроз:
Malicious Command Execution — компрометированные MCP-серверы выполняют произвольный код через crafted промпты или файлы
Dependency/Update Attack — атаки на цепочку зависимостей, подмена кода после установления доверия ("rug pull"), добавление непроверенных tools/prompts
Payload Limit/DoS — исчерпание ресурсов через неограниченные размеры payload или глубину рекурсии
Lack of Observability — недостаточное логирование MCP-действий скрывает malicious activity

Почему важно:
MCP быстро стал "USB-C для AI" — его используют Claude, ChatGPT, Cursor и тысячи community-серверов. Но протокол проектировался без security-first подхода.

Каждый MCP-сервер — потенциальный бэкдор в системы.

Практическая ценность:
Документ даёт actionable guidance для текущих имплементаций + указывает где протокол и экосистема должны эволюционировать.

Если строите что-то на MCP — must read.

А с учётом последних тенденций - пусть это руководство лучше почитает ваш *code агент и обновит на базе него свой skill по созданию mcp серверов.

#MCP #Security #CoSAI #агенты
———
@tsingular