MCPセキュリティ監査：モデルコンテキストプロトコルを搭載したLLMは重大なセキュリティ脆弱性を許容する

MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits

April 2, 2025

著者: Brandon Radosevich, John Halloran

cs.AI

要旨

開発コストを削減し、生成AIアプリケーションを構成する可能性のあるコンポーネント間のシームレスな統合を可能にするため、Model Context Protocol（MCP）（Anthropic, 2024）が最近リリースされ、広く採用されています。MCPは、大規模言語モデル（LLM）、データソース、およびエージェントツールへのAPI呼び出しを標準化するオープンプロトコルです。複数のMCPサーバーを接続し、各サーバーにツール、リソース、プロンプトのセットを定義することで、ユーザーはLLMによって完全に駆動される自動化されたワークフローを定義できます。しかし、現在のMCP設計には、エンドユーザーにとって広範なセキュリティリスクがあることを示します。特に、業界をリードするLLMがMCPツールを使用して、悪意のあるコード実行、リモートアクセス制御、認証情報の盗難などのさまざまな攻撃を通じてAI開発者のシステムを侵害する可能性があることを実証します。これらの攻撃および関連する攻撃を事前に緩和するために、セキュリティ監査ツールであるMCPSafetyScannerを導入します。これは、任意のMCPサーバーのセキュリティを評価する最初のエージェントツールです。MCPScannerは、いくつかのエージェントを使用して、(a) MCPサーバーのツールとリソースを基に敵対的サンプルを自動的に決定し、(b) それらのサンプルに基づいて関連する脆弱性と修正策を検索し、(c) すべての調査結果を詳細に記載したセキュリティレポートを生成します。私たちの研究は、汎用エージェントワークフローの深刻なセキュリティ問題を浮き彫りにすると同時に、MCPサーバーの安全性を監査し、検出された脆弱性を展開前に解決するための積極的なツールを提供します。 説明されたMCPサーバー監査ツール、MCPSafetyScannerは、以下で無料で利用可能です: https://github.com/johnhalloran321/mcpSafetyScanner

English

To reduce development overhead and enable seamless integration between potential components comprising any given generative AI application, the Model Context Protocol (MCP) (Anthropic, 2024) has recently been released and subsequently widely adopted. The MCP is an open protocol that standardizes API calls to large language models (LLMs), data sources, and agentic tools. By connecting multiple MCP servers, each defined with a set of tools, resources, and prompts, users are able to define automated workflows fully driven by LLMs. However, we show that the current MCP design carries a wide range of security risks for end users. In particular, we demonstrate that industry-leading LLMs may be coerced into using MCP tools to compromise an AI developer's system through various attacks, such as malicious code execution, remote access control, and credential theft. To proactively mitigate these and related attacks, we introduce a safety auditing tool, MCPSafetyScanner, the first agentic tool to assess the security of an arbitrary MCP server. MCPScanner uses several agents to (a) automatically determine adversarial samples given an MCP server's tools and resources; (b) search for related vulnerabilities and remediations based on those samples; and (c) generate a security report detailing all findings. Our work highlights serious security issues with general-purpose agentic workflows while also providing a proactive tool to audit MCP server safety and address detected vulnerabilities before deployment. The described MCP server auditing tool, MCPSafetyScanner, is freely available at: https://github.com/johnhalloran321/mcpSafetyScanner