Cos'è il Model Context Protocol e perché è stato adottato così rapidamente

Il Model Context Protocol (MCP) è un framework open source lanciato da Anthropic nel novembre 2024 con l’obiettivo di standardizzare il modo in cui i sistemi di intelligenza artificiale – in particolare i grandi modelli di linguaggio (LLM) – integrano e condividono dati con strumenti, sistemi e fonti esterne. MCP definisce un’interfaccia normalizzata per:

    • la lettura di file;
    • l’esecuzione di funzioni remote;
    • il trattamento di prompt contestuali.

Dopo l’annuncio, il protocollo è stato rapidamente adottato da giganti come OpenAI e Google DeepMind, diventando quasi il “USB‑C” della comunicazione tra agenti IA. Nel dicembre 2025 Anthropic ha donato il MCP all’Agentic AI Foundation, parte della Linux Foundation, con l’intento di creare un punto di riferimento per affidabilità e sicurezza.

Le promesse di continuità e collaborazione

La fondazione ha sottolineato che MCP permette agli agenti di mantenere lo stato da una sessione all’altra e di collaborare sia con esseri umani sia con altri sistemi. Questa continuità è cruciale per le applicazioni aziendali, dove la perdita di contesto può causare errori costosi. Tuttavia, la rapida diffusione ha lasciato poco spazio a test approfonditi di sicurezza.

Le vulnerabilità emerse: SSRF e “protocol pivoting”

Nel marzo 2026 due eventi hanno scosso la fiducia nella tecnologia. Denis Yarats, CTO di Perplexity, ha annunciato l’abbandono interno di MCP a favore delle tradizionali API REST. Contemporaneamente Cloudflare ha pubblicato un’analisi tecnica che descriveva l’architettura MCP come “fondamentalmente inadatta” per agenti IA su larga scala.

Un ricercatore indipendente, Syed Anas Mohiuddin, ha poi dimostrato praticamente le falle. Testando agenti presso Google, JP Morgan Chase, Weaviate, Rapid7, la Direzione Interministeriale del Digitale in Francia e il governo federale degli Stati Uniti, ha evidenziato che:

    • i server MCP memorizzano gli ID di ogni agente;
    • per impostazione predefinita gli agenti si fidano di tutti gli altri agenti interni.

Questa fiducia cieca consente a un’istruzione generativa ben formulata, indirizzata al giusto agente, di innescare una falsificazione di richiesta lato server (SSRF). L’attaccante, sfruttando il server web, può effettuare richieste di rete non autorizzate, spesso verso risorse interne sensibili.

Esempi concreti di vulnerabilità

• Rapid7 (CVE‑2026‑97228): vulnerabilità classificata 2,7/10, corretta poco fa. L’attacco sfruttava la mancanza di validazione dei redirect HTTP nella toolbox MCP.

• Google: vulnerabilità più grave, 8/10. La toolbox MCP per database (googleapis/mcp-toolbox) inizializzava il client HTTP senza policy CheckRedirect e senza validare gli IP di destinazione. Un percorso manipolato induceva il client a seguire una redirezione verso un indirizzo interno, permettendo l’esecuzione di richieste SSRF. Il fix ha introdotto whitelist di blocchi IP e blacklist di URL non sicure.

• JP Morgan Chase, Weaviate, Direzione Digitale FR, Governo USA: tutti hanno confermato la presenza di exploit simili, dove un agente compromesso trasmetteva istruzioni malevole a un altro agente, sfruttando la fiducia reciproca.

Il concetto di “protocol pivoting”

Mohiuddin ha coniato il termine “protocol pivoting” per descrivere questo attacco a più stadi. In pratica, l’attaccante ottiene un primo accesso tramite MCP, poi sfrutta le assunzioni di fiducia tra i vari protocolli per ampliare il proprio raggio d’azione. Un tipico scenario:

    • un’applicazione usa MCP per assegnare un compito a un agente di traduzione;
    • l’agente trasmette un prompt maligno a un agente di analisi dati usando il protocollo Agent‑to‑Agent (A2A) di Google;
    • l’agente di analisi, fidandosi dell’emittente, esegue la richiesta e compromette un servizio interno.

Markus Vervier di X41 D‑Sec, che ha condotto ricerche analoghe, conferma che la perdita di “zero trust” è il vero nemico. Le aziende, nella corsa a costruire architetture di agenti IA sempre più tentacolari, hanno sacrificato il modello di sicurezza in cui ogni nodo è considerato compromesso fin dal principio.

Cosa hanno detto gli esperti di sicurezza

«La lezione è che tutto ciò che è trasmesso da un LLM al tuo strumento deve essere trattato come input da un sconosciuto su Internet», afferma un’analisi citata da Mohiuddin. Le vulnerabilità di base – injection di prompt e SSRF – sono note da vent’anni, ma i correttivi non sono stati aggiornati per le nuove architetture di agente.

Le risposte dei fornitori e le contromisure consigliate

Le principali organizzazioni hanno rilasciato patch, ma il lavoro rimane incompleto:

    • Google ha implementato whitelist di IP e rifiuto di URL non sicure al momento dell’inizializzazione.
    • Rapid7 ha aggiornato la toolbox MCP con validazione dei redirect.
    • Anthropic sta collaborando con la Agentic AI Foundation per introdurre meccanismi di autenticazione mutua tra agenti.

Gli esperti raccomandano:

    • implementare un modello “zero trust” a livello di protocollo, richiedendo token firmati per ogni chiamata;
    • monitorare non solo le porte di ingresso ma anche i “corridoi” tra agenti;
    • adottare liste di controllo per redirect e validazione di IP per ogni client MCP;
    • eseguire test di penetrazione specifici per “protocol pivoting” prima di mettere in produzione.

Il futuro di MCP: aggiornamento cruciale di luglio 2026

Alla fine di luglio 2026, il MCP ha ricevuto la sua più importante aggiornamento dal lancio. Tra le novità:

    • introduzione di un “trust framework” basato su certificati X.509 per l’autenticazione reciproca;
    • modalità “sandbox” opzionale che isola gli agenti in ambienti di esecuzione limitati;
    • meccanismo di “audit log” centralizzato per tracciare ogni scambio di messaggi tra agenti.

Queste misure mirano a mitigare le vulnerabilità di tipo SSRF e a ridurre la superficie di attacco del protocol pivoting. Tuttavia, gli esperti avvertono che la semplice adozione di patch non basta; è necessario un ripensamento fondamentale dell’architettura di fiducia.

Implicazioni per le imprese e per il settore IA

Le scoperte su MCP hanno diverse ripercussioni:

    • Rischio operativo: un attacco SSRF può esfiltrare dati sensibili, compromettere sistemi di pagamento o avviare movimenti laterali all’interno della rete.
    • Conformità normativa: le violazioni potrebbero infrangere normative come GDPR, PCI‑DSS o NIST, con sanzioni potenzialmente elevate.
    • Strategie di sviluppo: le aziende dovranno valutare se continuare a investire in MCP o tornare a soluzioni più mature come le API REST tradizionali, che offrono controlli di sicurezza più consolidati.

In conclusione, il Model Context Protocol rappresenta una pietra miliare per l’interoperabilità delle IA, ma la sua rapida diffusione ha messo in luce una serie di debolezze strutturali. Le recenti vulnerabilità SSRF e il fenomeno del “protocol pivoting” dimostrano che la fiducia cieca tra agenti è pericolosa. Solo un impegno congiunto tra fornitori, comunità open source e organizzazioni di standardizzazione potrà trasformare MCP in un vero standard sicuro, capace di sostenere l’era delle IA autonome senza compromettere la sicurezza delle reti aziendali.