Menaces propres à MCP

Une fois que votre serveur MCP fournit des outils à un modèle, vous avez créé une nouvelle façon pour du texte non fiable de déclencher des actions réelles. Cela change votre modèle de menace. 🛡️

Considérez le modèle comme un stagiaire bien intentionné mais distrait, qui lit tout ce qu’on lui donne. Le principal risque est que du contenu non fiable l’oriente vers des appels que vous n’aviez jamais prévus.

Une injection de requête se produit lorsque le texte lu par le modèle contient des instructions cachées, par exemple une page web qui dit de supprimer tous les fichiers, et que le modèle leur obéit comme s’il s’agissait de véritables commandes.

Les instructions injectées arrivent avec les données récupérées par vos outils : pages web, e-mails, contenu de fichiers, réponses d’API. Tout ce qu’un outil renvoie peut transporter une charge utile d’attaque jusqu’au modèle.

L’empoisonnement d’outil dissimule des instructions malveillantes dans la description d’un outil ou dans son résultat, de sorte que le modèle est incité à mal agir simplement parce que l’outil est installé.

Cette description semble utile, mais dissimule une commande secondaire. Le modèle peut lire la partie cachée comme une commande : examinez chaque description d’outil que vous publiez.

Un mandataire confus est un programme de confiance amené à utiliser son autorité à mauvais escient. Votre serveur dispose de véritables identifiants : un attaquant qui l’oriente emprunte donc ce pouvoir.

Votre serveur détient souvent des jetons ou un accès à une base de données que l’utilisateur ne voit jamais. Si le modèle est trompé, il dépense votre autorité, et non celle de l’attaquant : c’est précisément le danger.

Les attaques réelles les enchaînent : un contenu empoisonné injecte des instructions, le modèle les relaie et votre serveur trop privilégié agit comme le mandataire confus qui cause les dégâts.

Aucune solution unique ne suffit. Vous combinerez le principe du moindre privilège, la validation des entrées et la confirmation humaine afin qu’un seul faux pas ne se transforme pas en compromission. La défense en profondeur est l’objectif.

Désormais, concevez chaque outil comme si ses arguments et les données qu’il lit avaient été écrits par un attaquant. Cet état d’esprit défensif orientera chacun de vos prochains choix.

MCP ajoute une surface d’attaque où du texte non fiable peut déclencher des actions réelles. Soyez attentif à l’injection de requête, à l’empoisonnement d’outil et à l’utilisation abusive d’un mandataire confus, puis défendez-vous par couches. ✅