Fenomenul este remarcabil nu doar prin viteză, ci prin unanimitate. Până în decembrie 2025, Anthropic anunța că peste 10.000 de servere MCP publice active funcționau deja, cu suport nativ de la gigantii cloud: AWS, Google Cloud, Azure. Dar cifra cea mai relevantă nu este numărul de servere, ci faptul că toate platformele majore de codare și modelele LLM de top – ChatGPT, Gemini, Microsoft Copilot, Cursor, Visual Studio Code – au adoptat standardul. Într-un ecosistem fragmentat unde competiția dintre furnizori de modele este feroasă, faptul că un singur protocol a câștigat acceptarea universală în 12 luni este o raritate. MCP a rezolvat o problemă reală, dureroasă: nevoia unui interfață unificată, standardizată, care să permită unui agent AI să converseze cu orice bază de date, API sau sistem de fișiere fără a scrie conectori custom pentru fiecare. Este, esențial, "USB-ul" pentru agenții AI.
Dar acest "port universal" a adus cu el o suprafață de atac masivă, neexplorată și, cel mai grav, neapărătă. Soluțiile tradiționale de securitate – WAF-uri, API gateways, sisteme DLP clasice – sunt proiectate pentru trafic determinist, pentru request-uri HTTP bine definite. Nu înțeleg semantică, nu înțeleg contextul conversațional al unui agent care decide dinamic ce tool să apeleze, cu ce parametri și ce să facă cu rezultatul. Aici intervine conceptul de "AI Firewall", un termen care face în prezent "dublă slujbă". Pe de o parte, avem firewall-urile tradiționale îmbogățite cu AI pentru a detecta malware sau intruziuni convenționale. Pe de altă parte, noua generație: firewall-uri construite specifical pentru a apăra AI-ul în sine – modelele, agenții, tool-urile – împotriva amenințărilor native LLM: prompt injection, tool poisoning, data exfiltration prin canale legitime. Produsele precum AI Network Firewall al Check Point (lansat iulie 2026) sau extensiile AI Defense ale Cisco aparțin acestei noi categorii.
Analiza riscurilor specifice MCP dezvăluie un peisag amenințător. OWASP (Open Worldwide Application Security Project) a catalogat deja vectori de atac unici pentru această arhitectură. Cel mai insidios este "tool poisoning": o evoluție a prompt injection-ului clasic. Atacatorul nu injectează instrucțiuni malițioase direct în prompt-ul utilizatorului (care ar putea fi filtrat), ci le ascunde în descrierea tool-ului, în schema JSON a parametrilor sau chiar în valorile returnate de tool. Agentul AI, citind documentația tool-ului pentru a ști cum să-l folosească, "citește" de fapt instrucțiunile atacatorului și modifică comportamentul său. Este un Cavou Troian la nivel de metadate.
Alt vector specific este "rug pull" (tragerea covorului): un atacator registrează un tool benign, obține aprobarea umană sau a unui sistem de policy pentru utilizarea lui, apoi schimbă definiția tool-ului ulterior, exploatând încrederea acordată inițial. "Tool shadowing" și "cross-origin escalation" funcționează pe principii similare: un server malițios manipulează descrierea propriilor tool-uri pentru a influența cum agentul interacționează cu tool-urile unui server de încredere, distinct. Granițele de izolare între servere MCP diferite se dovedesc a fi poroase la nivel semantic.
Datele sunt înspăimântătoare. O analiză condusă de Lakera (companie achiziționată de Check Point în 2025) pe 10.000 de servere MCP publice a relevat că 40% aveau vulnerabilități exploatabile. Nu este o problemă marginală; este o epidemie la scară de infrastructură. Pe lângă aceste atacuri noi, vechile amenințări devin mai periculoase în contextul MCP. Exfiltrarea datelor devine trivială: un agent compromís poate insera informații sensibile (chei API, date PII, cod sursă proprietary) în parametrii unor apeluri tool legitime – o căutare web, trimiterea unui email, scrierea într-un fișier – trecând sub radarul sistemelor DLP care caută pattern-uri suspecte în corpul răspunsurilor, nu în argumentele de funcții. De asemenea, principiul "least privilege" este adesea ignorat în configurarea serverelor MCP, acestea primind permisiuni largi (citire/scriere pe tot filesystem-ul, acces la toate tabelele DB) pentru că "agentul ar putea avea nevoie", creând o suprafață de atac inutil de largă.
Totuși, un analist responsabil trebuie să evite alarmismul simplist. Securizarea serverelor MCP este necesară, dar nu suficientă. Agenții AI nu interacționează cu lumea exterioară doar prin MCP. Pot face apeluri API directe, pot folosi plugin-uri legacy, pot rula cod în sandbox-uri, pot accesa browsere headless. MCP este doar un fir – deși cel mai gros și vizibil – din țesătura complexă a infrastructurii AI agentice. O strategie de securitate care se concentrează exclusiv pe MCP lasă goluri uriașe acolo unde agenții folosesc alte canale.
Asta înseamnă că evaluarea vendorilor de securitate MCP trebuie făcută în contextul întregii stive de securitate a organizației. Întrebările corecte nu sunt doar "Blochezi tool poisoning?" sau "Scanhezi serverele MCP?", ci: "Cum se integrează soluția ta cu SIEM-ul existent?", "Poate corela un eveniment suspect pe un server MCP cu un comportament anormal al aceluiași agent pe un API direct?", "Oferi vizibilitate unificată asupra identității agentului, indiferent de canalul de comunicare?".
Piața începe să răspundă. TrueFoundry își poziționează AI Gateway-ul ca un strat de guvernanță la nivel de infrastructură: control acces, audit, policy enforcement pentru interacțiunile agent-tool prin MCP. Cisco a extins AI Defense cu guardrails specifice agenților, scanning de servere MCP și inspecție trafic în timp real. Check Point, prin achiziția Lakera, aduce experțiță profundă în securitatea LLM-urilor, integrată acum în platforma lor de network security. Există opțiuni, dar maturitatea diferă.
Concluzia pentru CISO-uri și arhitecți de securitate este clară: nu puteți opri adoptarea MCP – business-ul o cere, dezvoltatorii o folosesc deja, productivitatea crește dramatic. Dar nu puteți nici să vă prefirați să ignorați riscul. Trebuie să tratați serverele MCP ca orice altă componentă critică a infrastructurii: inventariați-le, scanăți-le continuu, aplicați principiul minimului privilegiu la nivel de tool (nu de server), monitorizați traficul semantic, nu doar cel sintactic, și, cel mai important, asigurați-vă că controalele MCP sunt parte integrantă dintr-o platformă unificată de AI Security (AI-SPM / AI Firewall) care vede totul ceea ce face agentul, nu doar ce face prin MCP. Curba de adopție a MCP a demonstrat că infrastructura AI evoluează în luni, nu ani. Postura de securitate trebuie să evolueze la fel de repede.
De ce este important:
Serverele MCP au devenit, în mod tacit și fulminant, noul "sistem de operare" de facto pentru acțiunile agenților AI în lumea reală. Compromiterea lor nu înseamnă doar o scurgere de date; înseamnă takeover-ul controlului operațional al automatizărilor care scriu cod, trimit emailuri, modifică baze de date și ia decizii de business. Ignorarea acestui vector de atac echivalează cu lăsarea portului USB al organizației deschis și nemonitorizat într-o cameră plină de stranieri. Securitatea MCP nu este un proiect IT de nicăieri – este o cerință strategică de continuitate și încredere în era AI-agentic.
