Il contesto dei server trappola MCP

OpenA2A ha monitorato 393 chiamate a strumenti sui propri server MCP trappola in un intervallo di 30 giorni, rispetto a sole 9 chiamate nel periodo precedente. Le richieste sono arrivate da 19 impronte tecniche distinte, cioè da 19 combinazioni di caratteristiche con cui un client si identifica, e hanno richiesto operazioni come ricerca nei log, esecuzione di comandi di shell, interrogazione di un database, lettura di file, recupero di segreti e ricerca di utenti.

Il rapporto mensile del 18 ottobre copre il periodo dal 17 settembre al 17 ottobre, fornendo i dati di cui sopra. Un server trappola è un finto server MCP messo online per registrare chi lo contatta e cosa richiede, senza collegamento a servizi reali. Il protocollo MCP (Model Context Protocol) consente a un agente AI di collegarsi a dati e applicazioni, esponendo strumenti come la lettura di file o l’interrogazione di un database.

Misurazione del comportamento in un ambiente controllato

Questo approccio permette di misurare comportamenti che su server reali sarebbero difficili da isolare dal traffico legittimo. Una connessione indica che un client ha bussato al server, mentre una chiamata a uno strumento segnala che il client ha provato a usarlo. Le 393 chiamate rappresentano lo 0,1 % dei 409 230 eventi registrati, dimostrando una bassa, ma non trascurabile, incidenza.

Tipologie di strumenti richiesti e loro implicazioni

Le chiamate osservate puntano a strumenti che, su un server vero, darebbero accesso a sistemi e dati sensibili. Gli strumenti richiesti appartengono a sei famiglie:

    • Ricerca nei log
    • Esecuzione di comandi di shell
    • Query a un database
    • Lettura di file
    • Recupero di segreti (password, chiavi API, token)
    • Ricerca di utenti

Su un server reale, queste richieste potrebbero permettere l’accesso a sistema, dati e credenziali, con potenziali impatti critici.

Frequenza e interpretazione dei dati

La cadenza delle richieste è quasi quotidiana a partire dal 26 settembre, suggerendo strumenti pianificati più che interventi manuali. Il rapporto non attribuisce le chiamate a client specifici, ma pubblica solo il totale e il numero di impronte.

I limiti della misura includono un campione piccolo (un solo mese) e un cambiamento nello schema di assegnazione delle impronte avvenuto il 28 settembre, che rende difficile tracciare trend di recidiva.

Esposizione dei server MCP e crescita del panorama di rischio

Il conteggio dei server esposti è stato effettuato il 1 ottobre tramite Shodan, che indicizza i servizi raggiungibili da internet. La scansione ha individuato 2 271 server MCP, contro 1 997 del 1 settembre, un aumento del 13,7 %.

È importante distinguere tra “server esposto”, che semplicemente risponde a una richiesta, e “server attaccato”, per cui non vi è evidenza di compromissione. I dati delle trappole non possono essere direttamente correlati alla popolazione esposta.

Debolezze note del protocollo MCP

La specifica MCP rende l’autorizzazione facoltativa: i server HTTP dovrebbero adottarla, mentre per i server STDIO, che girano localmente, è sconsigliata. L’elenco OWASP (ancora in beta) segnala rischi quali:

    • MCP07: autenticazione e autorizzazione insufficienti
    • MCP08: mancanza di audit e telemetria
    • MCP09: server ombra avviati senza il coinvolgimento dell’IT

Studi precedenti hanno evidenziato vulnerabilità sfruttabili nel 40 % dei 10 000 server analizzati da Lakera, e fino a 200 000 istanze potenzialmente vulnerabili nella modalità STDIO secondo OX Security.

Raccomandazioni operative per le aziende

Il primo passo per le organizzazioni è stilare un elenco completo dei server MCP: quanti sono, dove girano, quale reparto li ha avviati e se esistono server “shadow AI” mai monitorati dall’IT.

Ogni server dovrebbe richiedere una credenziale davanti all’endpoint, anche se la specifica la lascia facoltativa. I server destinati ai dipendenti non dovrebbero essere accessibili da internet, ma posizionati dietro VPN o liste di indirizzi consentiti.

Principi di minimizzazione dei permessi

Ogni strumento deve essere limitato al permesso minimo. Se un agente deve leggere i file di una cartella, lo strumento non dovrebbe poter lanciare comandi di shell né accedere all’intero disco. Le buone pratiche MCP suggeriscono mitigazioni come:

    • Sandboxing degli strumenti
    • Consenso esplicito per operazioni sensibili
    • Ambiti di azione ristretti

Il registro delle chiamate deve annotare nome dello strumento e argomenti, come richiesto da MCP08. L’allarme dovrebbe attivarsi sulla prima chiamata a uno strumento su un server che dovrebbe restare inattivo, piuttosto che su semplici connessioni.