Gli agenti IA stanno passando dai semplici bot di chat alle attività operative quotidiane: leggono caselle di posta, interrogano database e operano direttamente all'interno delle applicazioni aziendali. Il “tubo” che rende possibile questa integrazione è sempre più il Model Context Protocol (MCP), un protocollo aperto che permette alle IA di scoprire, collegare e utilizzare strumenti esterni in modo standardizzato. Parallelamente, MCP introduce una nuova superficie di attacco all’interno di reti che molte organizzazioni considerano ancora affidabili.

Come funziona il Model Context Protocol

MCP è un protocollo aperto che consente alle applicazioni IA di collegarsi a strumenti e fonti di dati esterne mediante un’interfaccia API comune. Invece di sviluppare integrazioni personalizzate per ciascun sistema, gli sviluppatori possono far sì che le IA scoprono i “tool” disponibili e li invocano per completare compiti specifici.

Un’applicazione può supportare MCP nativamente o tramite un server MCP dedicato. In entrambi i casi, il server espone una serie di tool, ovvero azioni che l’agente può eseguire: ricerca in un database, lettura di file, esecuzione di comandi, invio di email, ecc. Quando l’agente si connette, ottiene un catalogo di tool e li utilizza per portare a termine le richieste dell’utente.

Immaginate un server MCP collegato al vostro server di posta aziendale. L’agente può leggere messaggi, rispondere a richieste dei clienti e recuperare dettagli d’ordine da un database interno. Questa capacità è estremamente utile, ma costituisce anche un nuovo canale di accesso al cuore dell’organizzazione.

Perché MCP crea un nuovo percorso verso l’impresa

Il problema emerge quando lo stesso agente che ha accesso interno gestisce anche sistemi esterni e informazioni non fidate, come email di clienti, pagine web o documenti condivisi. Qualsiasi contenuto proveniente da queste fonti può contenere dati che l’agente interpreta come istruzioni operative.

Le conseguenze, già note a ogni CISO, includono:

    • Esposizione di dati: informazioni sensibili che fuoriescono attraverso gli strumenti dell’agente.
    • Azioni non autorizzate: l’agente esegue operazioni che nessun operatore umano ha approvato.
    • Superficie di attacco ampliata: nuove identità, server e connessioni da proteggere.

Un’indagine di Backslash Security sui 8.000 server MCP più popolari ha rilevato che il 29 % presentava almeno una vulnerabilità di sicurezza, dimostrando che il rischio è già misurabile.

Il framework di sicurezza CoSAI per MCP

Per aiutare i team di sicurezza a gestire questo panorama, la Coalition for Secure AI (CoSAI) ha pubblicato un framework che elenca 34 minacce suddivise in 12 categorie. Il valore principale del modello è la classificazione delle minacce in base alla loro novità:

    • 19 minacce convenzionali: problemi di sicurezza noti che si applicano a qualsiasi sistema.
    • 8 minacce contestualizzate all'MCP: problemi conosciuti che si comportano diversamente con agenti IA e MCP.
    • 7 minacce specifiche all'MCP: nuovi vettori di attacco che sfruttano la connessione tra agenti e tool.

Minacce convenzionali: problemi noti, impatto aumentato

La maggior parte delle minacce non è specifica per l’IA. Esse includono autenticazione debole, privilegi eccessivi, configurazioni di rete non sicure e gestione inadeguata delle credenziali. Quello che cambia è la velocità, la scala e l’autonomia con cui un agente vulnerabile può sfruttare queste debolezze.

Esempio tipico: un agente possiede credenziali per i server di file interni e comunica con i clienti tramite una chat. Se l’agente visita un sito maligno o esegue un comando non sicuro, l’attaccante può utilizzare quell’agente compromesso per penetrare più a fondo nell’organizzazione. Il problema è vecchio, ma l’agente autonomo ne amplia il raggio d’azione.

Le difese rimangono quelle tradizionali, ma devono essere estese al contesto MCP:

    • Implementare il principio del minimo privilegio per ogni agente e server MCP.
    • Adottare policy di autenticazione forte per agenti, server e utenti.
    • Utilizzare segmentazione di rete in modo che una connessione compromessa non possa accedere a tutto.
    • Gestire le vulnerabilità includendo server MCP e le loro dipendenze.

Minacce contestualizzate all'MCP: attacchi familiari con una svolta IA

Questa categoria comprende otto minacce riconoscibili, ma con comportamenti diversi quando un agente IA è coinvolto.

    • Prompt injection: l’attaccante nasconde istruzioni malevole in un documento, email o pagina web che l’agente elabora. Se il modello interpreta quel testo come comando, può compiere azioni non autorizzate.
    • Confused deputy: un server MCP utilizza privilegi elevati per agire per conto di un agente o utente che normalmente non possiede tali privilegi.
    • Resource exhaustion (“denial of wallet”): l’attaccante induce l’agente a chiamare API costose o tool ripetutamente, esaurendo risorse computazionali e generando costi reali.
    • Man-in-the-middle sul traffico agente‑tool.
    • Consent fatigue: gli utenti autorizzano così tante richieste dell’agente da non leggere più i dettagli di ciò che stanno approvando.

Le contromisure tradizionali (validazione dell’input, monitoraggio dei privilegi, limiti di quota) rimangono valide, ma devono essere applicate considerando l’agente come una “entità” a sé stante, non più solo come utente o applicazione.

Minacce specifiche all'MCP: sette nuovi vettori di attacco

Queste sono minacce emergenti che sfruttano direttamente il meccanismo di connessione tra agente e tool.

    • Identity spoofing: un attaccante si maschera da agente o client MCP legittimo per accedere a tool o risorse.
    • Tool poisoning: istruzioni malevole nascoste nella descrizione di un tool inducono l’agente a compiere azioni non previste.
    • Full schema poisoning: l’attaccante altera l’intera definizione di un tool, aggiungendo parametri nascosti o cambiandone il comportamento senza che l’agente se ne accorga.
    • Resource content poisoning: simile al prompt injection, ma le istruzioni malevole arrivano nel contenuto restituito dal server MCP stesso.
    • Typosquatting e attacchi di confusione: server o tool MCP maligni si presentano come legittimi. Un esempio reale (settembre 2025) riguarda il pacchetto npm postmark-mcp, che aggiungeva un BCC nascosto per copiare le email in uscita a un dominio esterno.
    • Shadow MCP servers: server non autorizzati o non gestiti operano al di fuori della visibilità del team di sicurezza.
    • Overreliance on the LLM: gli sviluppatori delegano decisioni di sicurezza al modello di linguaggio, anziché implementare controlli di accesso a livello di applicazione.

Difese trasversali e concetto di “slop security”

Tutte queste minacce ruotano attorno al tema della fiducia. Man mano che gli agenti diventano più capaci, gli operatori tendono a concedere loro sempre più libertà, smettendo di verificare costantemente cosa fanno o quali dati manipolano. Questo fenomeno è definito da me slop security: una ridotta vigilanza verso le attività dell’IA, paragonabile a una “pigrizia di sicurezza”.

Per mitigare il rischio è necessario mantenere una postura di verifica continua:

    • Inventariare tutti gli agenti e i server MCP presenti nell’infrastruttura.
    • Documentare quali tool sono disponibili per ciascun agente e quali permessi possiedono.
    • Richiedere approvazioni esplicite per ogni nuovo agente o server, con revisione periodica.
    • Implementare sistemi di monitoraggio che traccino le chiamate degli agenti ai tool, segnalando comportamenti anomali.
    • Applicare le difese tradizionali (autenticazione forte, least privilege, segmentazione) e integrare controlli specifici per le minacce MCP (validazione dei prompt, firma dei tool, whitelist di server MCP).

Il framework CoSAI fornisce una mappa completa delle minacce e delle difese associate. Consultando le visualizzazioni incluse, i team di sicurezza possono valutare quali misure sono già in atto e quali richiedono un approccio nuovo.

Conclusioni

Il Model Context Protocol sta trasformando il modo in cui le IA interagiscono con le infrastrutture aziendali, rendendo possibile un’automazione più profonda ma introducendo anche una superficie di attacco finora poco considerata. Le analisi di Backslash Security e il framework CoSAI evidenziano che quasi un terzo dei server MCP più diffusi presenta vulnerabilità, e che le minacce spaziano da problemi tradizionali a scenari completamente nuovi.

Affrontare queste sfide non richiede reinventare la sicurezza, ma estendere i controlli esistenti al nuovo modello agente‑tool e introdurre misure specifiche per le minacce MCP. Solo mantenendo una vigilanza costante sulla fiducia concessa agli agenti e verificando continuamente le loro interazioni sarà possibile sfruttare i vantaggi di MCP senza compromettere la sicurezza dell’intera impresa.