MCP 보안 감사: 모델 컨텍스트 프로토콜을 사용하는 LLM은 주요 보안 취약점을 허용함

MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits

April 2, 2025

저자: Brandon Radosevich, John Halloran

cs.AI

초록

개발 오버헤드를 줄이고 특정 생성형 AI 애플리케이션을 구성할 수 있는 잠재적 구성 요소 간의 원활한 통합을 가능하게 하기 위해, 최근 Model Context Protocol(MCP)(Anthropic, 2024)이 출시되어 널리 채택되었습니다. MCP는 대규모 언어 모델(LLM), 데이터 소스, 그리고 에이전트 도구에 대한 API 호출을 표준화하는 개방형 프로토콜입니다. 각각 도구, 리소스, 프롬프트 세트로 정의된 여러 MCP 서버를 연결함으로써, 사용자는 LLM에 의해 완전히 구동되는 자동화된 워크플로우를 정의할 수 있습니다. 그러나 우리는 현재 MCP 설계가 최종 사용자에게 광범위한 보안 위험을 초래할 수 있음을 보여줍니다. 특히, 우리는 업계를 선도하는 LLM이 악성 코드 실행, 원격 접근 제어, 자격 증명 도난과 같은 다양한 공격을 통해 AI 개발자의 시스템을 손상시키기 위해 MCP 도구를 사용하도록 강요될 수 있음을 입증합니다. 이러한 관련 공격을 사전에 완화하기 위해, 우리는 임의의 MCP 서버의 보안을 평가하는 최초의 에이전트 도구인 MCPSafetyScanner라는 안전 감사 도구를 소개합니다. MCPScanner는 여러 에이전트를 사용하여 (a) 주어진 MCP 서버의 도구와 리소스를 기반으로 적대적 샘플을 자동으로 결정하고, (b) 해당 샘플을 기반으로 관련 취약점과 수정 사항을 검색하며, (c) 모든 발견 사항을 상세히 설명하는 보안 보고서를 생성합니다. 우리의 작업은 범용 에이전트 워크플로우의 심각한 보안 문제를 강조함과 동시에, 배포 전에 MCP 서버의 안전을 감사하고 감지된 취약점을 해결하기 위한 사전 대응 도구를 제공합니다. 설명된 MCP 서버 감사 도구인 MCPSafetyScanner는 https://github.com/johnhalloran321/mcpSafetyScanner에서 무료로 이용 가능합니다.

English

To reduce development overhead and enable seamless integration between potential components comprising any given generative AI application, the Model Context Protocol (MCP) (Anthropic, 2024) has recently been released and subsequently widely adopted. The MCP is an open protocol that standardizes API calls to large language models (LLMs), data sources, and agentic tools. By connecting multiple MCP servers, each defined with a set of tools, resources, and prompts, users are able to define automated workflows fully driven by LLMs. However, we show that the current MCP design carries a wide range of security risks for end users. In particular, we demonstrate that industry-leading LLMs may be coerced into using MCP tools to compromise an AI developer's system through various attacks, such as malicious code execution, remote access control, and credential theft. To proactively mitigate these and related attacks, we introduce a safety auditing tool, MCPSafetyScanner, the first agentic tool to assess the security of an arbitrary MCP server. MCPScanner uses several agents to (a) automatically determine adversarial samples given an MCP server's tools and resources; (b) search for related vulnerabilities and remediations based on those samples; and (c) generate a security report detailing all findings. Our work highlights serious security issues with general-purpose agentic workflows while also providing a proactive tool to audit MCP server safety and address detected vulnerabilities before deployment. The described MCP server auditing tool, MCPSafetyScanner, is freely available at: https://github.com/johnhalloran321/mcpSafetyScanner