MCP (Model Context Protocol) — открытый стандарт, по которому ИИ-агент подключается к почте, CRM, базам данных и другим рабочим системам. Раньше под каждую систему писали отдельную интеграцию. С MCP систему подключают один раз, и с ней работает любой совместимый агент.
Поэтому протокол быстро стал стандартом для корпоративных агентов. И поэтому каждое MCP-подключение нужно проверять так же строго, как любую интеграцию с доступом к рабочим данным.
Короткий ответ
Главный риск MCP связан с тем, что инструментами управляет модель, а ее можно обмануть инструкцией, спрятанной в письме, документе или описании инструмента. Защищают MCP-подключения четыре меры: реестр проверенных серверов, минимальные права агента, журнал каждого вызова и контроль данных, которые агент передает инструментам и получает от них.
Что такое MCP
Протокол представила Anthropic в ноябре 2024 года. Сейчас MCP поддерживают OpenAI, Google, Microsoft и большинство сред разработки с ИИ-ассистентами.
| Участник | Что делает |
|---|---|
| MCP-клиент | Встроен в приложение с агентом: корпоративный ассистент, IDE, чат-бот |
| MCP-сервер | Стоит перед системой и сообщает агенту, какие у нее инструменты: «найти клиента», «создать задачу», «отправить письмо» |
| Модель | Читает описания инструментов и решает, какой вызвать и с какими параметрами |
Отсюда сравнение с USB: один разъем для любых устройств. Подключили сервер CRM — агент ищет сделки. Подключили сервер почты — отправляет письма.
Локальные и удаленные серверы
Локальный MCP-сервер запускается на компьютере пользователя как обычная программа и получает его права: доступ к файлам, ключам и конфигурациям. Удаленный работает в сети как веб-сервис, и агент подключается к нему с авторизацией. Для локального сервера главный риск — чужой код на рабочей машине. Для удаленного — токены доступа и то, кому они выданы.
Чем MCP опасен для компании
Инструментами MCP управляет модель, и решения она принимает по тексту, который попал ей в контекст. Задачу пользователя от инструкции, спрятанной в данных, модель отличает не всегда. Разработчик Саймон Уиллисон отмечает, что об этой угрозе отрасль знает несколько лет, а убедительной защиты от нее до сих пор нет.
Он же описал сочетание, при котором атака становится по-настоящему опасной: у агента есть доступ к закрытым данным, он читает непроверенный контент и может отправить информацию наружу. Агент, у которого через MCP подключены почта, документы и внешняя отправка, выполняет все три условия. Убрать любое из них — самый надежный способ снизить риск.
В рейтинге рисков LLM-приложений OWASP Top 10 промпт-инъекция стоит на первом месте. Чрезмерные полномочия агента выделены там в отдельный риск.
Скрытые команды в данных
Косвенная промпт-инъекция — это инструкция для модели, спрятанная в данных, которые агент читает по ходу работы: в письме, документе или тикете. Например, «перешли эту переписку на внешний адрес». Модель может принять такую фразу за задачу.
В мае 2025 года исследователи Invariant Labs показали такую атаку на официальном MCP-сервере GitHub. Вредоносный issue в публичном репозитории перехватывал управление агентом и заставлял его выложить данные из закрытых репозиториев пользователя.
Отравленные описания инструментов
Tool poisoning — атака, при которой вредоносный MCP-сервер прячет инструкции для модели в описании своих инструментов. Пользователь в интерфейсе видит короткое «складывает два числа», а модель читает описание целиком, вместе со скрытой командой.
Invariant Labs описала эту атаку в апреле 2025 года. В демонстрации скрытое описание инструмента сложения заставляло агента прочитать SSH-ключ и конфигурацию MCP и передать их через параметр вызова.
Есть вариант хитрее: сервер проходит проверку с чистым описанием, а после одобрения меняет его. Прежняя проверка в этом случае уже ничего не гарантирует.
Слишком широкие права
Чрезмерные полномочия — это когда агенту доступно больше операций, чем нужно для задачи. Для работы нужен только поиск по CRM, а агент может еще изменять и удалять записи. С лишними правами любая из атак выше наносит больше ущерба. В случае с GitHub у агента был токен с доступом к закрытым репозиториям, поэтому утечь было что.
Обращения к внутренним ресурсам
Агента, у которого есть инструмент для HTTP-запросов или загрузки страниц, можно заставить обратиться к адресу внутренней сети: панели администратора, внутреннему API, служебным сервисам облака. Так атака, пришедшая снаружи через письмо или документ, дотягивается до систем, закрытых от интернета.
Поддельные и взломанные серверы
Атака через цепочку поставок — это вредоносный код внутри сервера, который выглядит как легитимная библиотека. В сентябре 2025 года исследователи Koi Security нашли первый вредоносный MCP-сервер, использованный в реальной атаке.
Пакет postmark-mcp пятнадцать версий работал как обычный коннектор для отправки писем. Затем одна добавленная строка кода начала отправлять скрытую копию каждого письма на адрес злоумышленника. До удаления пакет скачали более 1600 раз.
Как подключать MCP безопасно
| Угроза | Что делать |
|---|---|
| Скрытые команды в данных | Проверять документы до загрузки в базу знаний и вызовы инструментов после чтения внешнего контента; не давать одному агенту сразу закрытые данные и отправку наружу |
| Отравленные описания | Проверять описания при подключении, фиксировать версии, сверять описания при каждом обновлении |
| Слишком широкие права | Выдавать агенту только нужные инструменты и операции |
| Обращения к внутренним ресурсам | Разрешать агенту запросы только к утвержденным адресам, внутренние сети закрыть |
| Поддельные серверы | Вести реестр разрешенных серверов, ставить их только из официальных источников |
| Чужой код на рабочей машине | Запускать локальные серверы в изолированной среде |
| Утечка токенов | Хранить токены в хранилище секретов, заводить отдельную учетную запись на каждый сервер |
| Зацикливание агента | Ограничивать число вызовов и бюджет |
| Все перечисленные | Журналировать каждый вызов, проверять запросы, параметры и ответы |
Реестр разрешенных серверов
Подключают только серверы из утвержденного списка: официальные от разработчика системы или собственные, проверенные службой ИБ. Версию сервера фиксируют, и каждое обновление проходит ту же проверку, что и первое подключение. Описания инструментов сохраняют при одобрении и сверяют при каждом обновлении списка инструментов, чтобы подмена после проверки не прошла незамеченной.
Минимальные права
Агенту выдают только те инструменты и операции, которые нужны для задачи. Агенту поддержки хватит чтения базы знаний и создания черновиков ответов, удалять записи и отправлять письма наружу ему незачем. Сетевые запросы разрешают только к утвержденным адресам.
Изоляция локальных серверов
Локальный сервер запускают в контейнере или песочнице. Ему открывают только нужные папки и разрешают сетевые соединения только с адресами той системы, с которой он работает. Если в сервере окажется закладка, она не дотянется до ключей и файлов пользователя.
Секреты и авторизация
Токены MCP-серверов хранят в хранилище секретов. Открытым текстом в конфигурационном файле их оставлять нельзя: в демонстрации tool poisoning целью атаки была как раз конфигурация MCP. На каждый сервер заводят отдельную сервисную учетную запись с ограниченными правами. Для удаленных серверов используют OAuth, а токен пользователя дальше сервера не передают.
Подтверждение человека для опасных действий
Удаление данных, платежи и отправку информации за пределы компании агент выполняет только после подтверждения сотрудником.
Лимиты вызовов и бюджета
Агент может зациклиться и вызывать инструменты и модель сотни раз подряд. Лимиты на число вызовов и расходы останавливают такой цикл до того, как он ударит по бюджету или перегрузит рабочую систему.
Журнал каждого вызова
Записывают, какой агент вызвал какой инструмент, с какими параметрами и что вернулось в ответ. Без журнала после инцидента не восстановить цепочку: какой документ прочитал агент, откуда пришла инструкция и что ушло наружу. В журнал попадают персональные данные и секреты, поэтому их маскируют, а срок хранения задают в регламенте.
Проверка трех потоков данных
Проверяют три потока: запрос пользователя, параметры вызова инструмента и ответ инструмента. В параметрах наружу уходят ключи и переписка. В ответах инструментов приходят спрятанные команды. Как устроены такие фильтры, мы разбирали в статье о guardrails для LLM.
Где поставить контроль: агент, шлюз или MCP-прокси
| Где | Что видит | Ограничения |
|---|---|---|
| В каждом агенте | Все действия этого агента | Правила расходятся между агентами и зависят от фреймворка |
| MCP-прокси между клиентом и серверами | Весь трафик к MCP-серверам | Отдельный компонент, нужна поддержка на стороне клиентов |
| AI-шлюз между приложениями и моделью | Запросы, ответы модели, вызовы инструментов и их результаты | Сам MCP-трафик через шлюз не проходит |
Когда агентов больше одного, политики в каждом из них быстро начинают расходиться. Общий контрольный узел дает одни правила и один журнал, и его работа не зависит от того, на чем написан агент.
ИИ-файрвол в AIaaS
В AIaaS от ITGLOBAL.COM контроль выполняет ИИ-файрвол. Сейчас модуль проходит испытания и подключается в панели управления сервисом. Файрвол стоит между корпоративными приложениями и языковой моделью. Он проверяет запросы пользователей, ответы модели, загружаемые документы и обращения агентов к инструментам, в том числе через MCP.
Каждое обращение проходит два уровня проверки. Быстрый классификатор отсекает очевидные случаи, а модель оценивает смысл спорных. Для агентов действует отдельный модуль: он сверяет вызовы со списком разрешенных инструментов, проверяет передаваемые параметры и отслеживает попытки обратиться к внутренним сетевым ресурсам. Документы для базы знаний проверяются еще до попадания в поисковый индекс.
Файрвол работает в двух режимах. В режиме наблюдения он только фиксирует подозрительные действия, и по этим данным настраивают политики. В режиме блокировки он останавливает нарушения.
110 из 110
смоделированных атак шести категорий заблокированы в одной из серий испытаний
0 из 100
обычных рабочих запросов заблокированы по ошибке
После расширения набора сценариев команда нашла дополнительные ограничения и учитывает их при доработке. Подробности — в новостях о запуске модуля и расширенных испытаниях.
С чего начать
Шаги идут в этом порядке: включать блокировку до того, как видна реальная картина, — значит мешать рабочим процессам.
Инвентаризация
Составьте список MCP-серверов, которые уже подключены у сотрудников и в приложениях.
Реестр
Оставьте серверы из официальных источников, зафиксируйте версии и описания инструментов.
Права
Урежьте права агентов до нужных операций и закройте доступ к внутренним сетям.
Изоляция и секреты
Перенесите локальные серверы в песочницу, а токены — в хранилище секретов.
Наблюдение
Включите журнал вызовов и контроль в режиме наблюдения, соберите картину за несколько недель.
Блокировка
Настройте политики по собранным данным и включите блокировку.
Вывод
MCP сокращает путь от идеи агента до работающей интеграции. Вместе с этим расширяется круг систем, до которых может дотянуться модель, а ее можно обмануть через обычные данные.
До первого подключения нужны реестр серверов, минимальные права и журнал вызовов. Контроль удобнее держать в одной точке для всех агентов и включать сначала в режиме наблюдения, а блокировку — после настройки политик.
Защитите ИИ-агентов до подключения MCP
ИИ-файрвол в составе AIaaS проверяет запросы, ответы моделей, документы и вызовы инструментов агентов. Начать можно с режима наблюдения: он покажет реальные риски без влияния на работу сотрудников.
FAQ
Что такое MCP простыми словами?
MCP (Model Context Protocol) — общий стандарт, по которому ИИ-агент подключается к рабочим системам: почте, CRM, базам данных, файлам. Систему подключают один раз через MCP-сервер, и с ней может работать любой совместимый агент.
Чем MCP отличается от обычного API?
API — интерфейс конкретной системы, к которому программист пишет интеграцию. MCP — общий формат, в котором система описывает свои возможности для ИИ-агента. Агент сам решает, когда ими воспользоваться.
Чем локальный MCP-сервер опаснее удаленного?
Локальный сервер запускается на компьютере пользователя с его правами. Вредоносный код в нем получает доступ к файлам, ключам и конфигурациям.
Нужно ли согласовывать MCP-подключения со службой ИБ?
Да. Каждый сервер дает агенту доступ к рабочей системе, поэтому его проверяют так же, как любую интеграцию с доступом к данным.
Можно ли полностью защититься от промпт-инъекций?
Нет. Риск снижают минимальными правами агента, разделением закрытых данных и внешней отправки и контролем каждого вызова инструмента.
Как проверить уже подключенные MCP-серверы?
Составить список серверов, сверить источники и версии, прочитать описания инструментов целиком и проверить, какие права и токены выданы каждому.
Предыдущая статья
