Οι κίνδυνοι του MCP στις επικοινωνίες μεταξύ AI agents

Καθώς τα συστήματα τεχνητής νοημοσύνης γίνονται πιο δικτυωμένα και οι αυτόματες διεργασίες ανατίθενται από agent σε agent, αναδύεται ένα νέο πεδίο κινδύνου που δεν αντιμετωπίζεται καλά από τα υπάρχοντα πρωτόκολλα. Τεχνικοί και ερευνητές έχουν αρχίσει να εντοπίζουν επιθέσεις που αξιοποιούν την «εμπιστοσύνη» μεταξύ πρωτοκόλλων και των agents, με αποτελεσματική παράκαμψη των συνηθισμένων ελέγχων ασφαλείας.

Το φαινόμενο έχει ήδη απτή απόδειξη σε πραγματικά ευπάθειες, ενώ ειδικοί όπως ο Douglas McKee της Rapid7 επισημαίνουν ότι οι agents παρέχουν «γέφυρες» που οι επιτιθέμενοι μπορούν να διασχίσουν. Σε αυτό το άρθρο αναλύουμε τι είναι το MCP, πώς λειτουργεί το λεγόμενο «protocol pivoting», παραδείγματα πραγματικών ελαττωμάτων και τι μπορούν να κάνουν οι οργανισμοί για να μειώσουν τον κίνδυνο.

Τι είναι το MCP και γιατί είναι διαφορετικό από παλαιότερα πρωτόκολλα

Ο όρος MCP χρησιμοποιείται σήμερα για μια οικογένεια πρωτοκόλλων επικοινωνίας ανάμεσα σε αυτόνομους agents — ένα επίπεδο πάνω από τα παραδοσιακά REST ή RPC calls. Είναι σχεδιασμένο για να επιτρέπει ανάθεση εργασιών, ανταλλαγή μεταδεδομένων και αλυσιδωτή εκτέλεση εντολών μεταξύ μηχανών που ενεργούν ως «βοηθοί» ή υπηρεσίες. Αυτή η σχεδίαση αυξάνει την αυτοματοποίηση αλλά ταυτόχρονα πολλαπλασιάζει τις επιφάνειες επίθεσης.

Σε αντίθεση με κλασικά πρωτόκολλα, όπου η επικοινωνία είναι απευθείας και μονομερώς ελεγχόμενη, το μοντέλο agent-to-agent περιλαμβάνει πολλά επίπεδα εμπιστοσύνης, εξουσιοδότησης και μεταβίβασης εργασιών. Κάθε agent μπορεί να εκτελεί εργασία που του παρέχεται από ένα άλλο agent και να την προωθεί, συχνά σε διαφορετικό δίκτυο ή με διαφορετικό τρόπο επικοινωνίας. Όταν κάθε πρωτόκολλο υποθέτει ότι λειτουργεί μόνο του, δημιουργούνται τυφλά σημεία — «το διάδρομο ανάμεσα στις πόρτες» που δεν φυλάσσεται.

Πώς λειτουργεί το «protocol pivoting» στην πράξη

Ο όρος protocol pivoting περιγράφει μια πολυβηματική επίθεση όπου ο επιτιθέμενος αποκτά αρχική πρόσβαση μέσω ενός πρωτοκόλλου και στη συνέχεια «περνάει» μέσα από αλληλεπιδράσεις μεταξύ διαφορετικών πρωτοκόλλων για να επεκτείνει προνόμια ή να ζητήσει δράσεις που δεν θα ήταν δυνατές με το πρώτο πρωτόκολλο μόνο. Το κρίσιμο στοιχείο είναι ότι σε κάθε βήμα συμμετέχει ένας agent που εκτελεί ακριβώς αυτό που του ζητήθηκε, αλλά η συνολική λογική αλυσίδα οδηγεί σε κακόβουλη ενέργεια.

Παράδειγμα: ένας attacker εσωκλείει επιβλαβές κείμενο σε δεδομένα που μοιάζουν να προέρχονται από ένα αξιόπιστο source. Ένας πρώτος agent «διαβάζει» αυτά τα δεδομένα και, ως μέρος του κανονικού workflow, αναθέτει εργασία σε δεύτερο agent χρησιμοποιώντας ένα άλλο πρωτόκολλο ή endpoint. Ο δεύτερος agent, εμπιστευόμενος το αίτημα, εκτελεί την εντολή — π.χ. να κάνει HTTP request σε ένα εσωτερικό API — και έτσι ο attacker πετυχαίνει SSRF ή άλλου είδους παράκαμψη ασφαλείας χωρίς να παραβιάσει κανένα μοναδικό σύστημα άμεσα.

Πραγματικά παραδείγματα ευπαθειών και τι έδειξαν

Τους τελευταίους μήνες εμφανίστηκαν αληθινά περιστατικά που ανέδειξαν το πρόβλημα. Η ομάδα ασφαλείας της Rapid7 διόρθωσε την ευπάθεια CVE-2026-97228, η οποία είχε αξιολόγηση μόνο 2.7/10 και παρείχε ένα παράθυρο για κακόβουλη αλληλουχία εντολών μέσω της χρήσης των MCP εργαλείων. Παρότι η βαθμολογία ήταν σχετικά χαμηλή, το γεγονός ότι το θέμα επηρεάζει την αλυσίδα διεργασιών μεταξύ agents το καθιστά σημαντικό.

Μια πιο σοβαρή περίπτωση αφορούσε κώδικα στην εργαλειοθήκη googleapis/mcp-toolbox. Η έκδοση που βρέθηκε αρχικοποιούσε τον HTTP client χωρίς πολιτική CheckRedirect και χωρίς σωστή επικύρωση των στοχευμένων διευθύνσεων IP. Αυτό επέτρεψε σε crafted path parameters να οδηγήσουν σε redirect προς εσωτερικά endpoints και να κάνουν requests εκ μέρους του σύστηματος, δηλαδή μια μορφή SSRF. Η αξιολόγηση κινδύνου ήταν 8/10 και η επιδιόρθωση περιελάμβανε allow-list με range διευθύνσεων και έλεγχο για μη ασφαλείς base URLs κατά την εκκίνηση, όχι μόνο στην πρώτη ζήτηση.

Γιατί τα υπάρχοντα μέτρα ασφαλείας δεν αρκούν

Το βασικό πρόβλημα είναι οι υποθετικές «ασφαλείς αυλές» που κάθε πρωτόκολλο πιστεύει πως έχει. Οι σχεδιαστές πρωτοκόλλων υιοθετούν υποθέσεις εμπιστοσύνης και περιβάλλοντος, και αυτές οι υποθέσεις σπάνια αποτυπώνουν τις πραγματικές συνδέσεις σε συστήματα πολλαπλών agents. Έτσι, ενώ το κάθε endpoint μπορεί να ελέγχει σωστά εισερχόμενες αιτήσεις, δεν υπάρχει ενιαίο πλαίσιο που να παρακολουθεί, επικυρώνει και περιορίζει τις εντολές που διαβιβάζονται μεταξύ agents χρησιμοποιώντας διαφορετικά κανάλια.

Επιπλέον, η αυτοματοποίηση σημαίνει ότι εκατοντάδες ή χιλιάδες αιτήματα μπορεί να διέρχονται καθημερινά από εργαλεία που λειτουργούν ως «εσωτερικοί υπάλληλοι». Όταν ένα εργαλείο δεν εφαρμόζει έλεγχο redirect, ή δεν κάνει έλεγχο IP, ένας επιτιθέμενος μπορεί να αξιοποιήσει αυτή τη συμπεριφορά για να εκτελέσει κλήσεις σε εσωτερικούς πόρους ή να αρπάξει μυστικά, χωρίς να παραβιάσει παραδοσιακές πολιτικές πρόσβασης.

Πρακτικές άμυνας που λειτουργούν σήμερα

Η εμπειρική επιδιόρθωση που υιοθέτησε η Google δείχνει δύο βασικές αρχές: reject unsafe inputs όσο το δυνατόν νωρίτερα και εφαρμογή allow‑lists σε επίπεδο δικτύου. Ένα σωστό SSRF guard δεν κάνει απλώς επιδιόρθωση στο αίτημα που φτάνει. Απορρίπτει μια δυνητικά επικίνδυνη βασική διεύθυνση ήδη κατά την εκκίνηση του εργαλείου και περιορίζει τις επιτρεπτές IP ή CIDR ranges.

Άλλες ουσιώδεις μετρήσεις περιλαμβάνουν:

• αυθεντικοποίηση και υπογραφή κάθε ανάθεσης εργασίας ανάμεσα σε agents, ώστε να μην χάνεται η προέλευση της εντολής,
• τα tokens περιορισμένης ισχύος (delegation tokens) που λήγουν σύντομα και δεσμεύονται σε συγκεκριμένο scope,
• δικτυακές πολιτικές egress που αποτρέπουν μη εξουσιοδοτημένα outgoing requests από agents προς εσωτερικά APIs,
• ενεργό logging και correlated tracing μεταξύ διαφορετικών πρωτοκόλλων για να ανιχνεύεται η διαδρομή ενός αιτήματος.

Σε επίπεδο ανάπτυξης λογισμικού, οι βιβλιοθήκες που προσφέρουν MCP λειτουργίες πρέπει να έχουν ασφαλείς προεπιλογές: CheckRedirect ενεργό, whitelist IPs, validation του base URL πριν από οποιαδήποτε δικτυακή κλήση, και σαφείς περιορισμούς σε ό,τι αφορά την ανάθεση εργασιών. Επίσης, αυτό που μπορεί να κάνει μεγάλη διαφορά είναι ο περιορισμός των δικαιωμάτων των agents σε «least privilege» — δηλαδή κάθε agent να έχει μόνο ό,τι απαιτείται για τον σκοπό του.

Τι πρέπει να περιλαμβάνει ένα ολοκληρωμένο πρόγραμμα ασφάλειας για agent‑based συστήματα

Η προσέγγιση πρέπει να είναι πολυεπίπεδη: τεχνικοί έλεγχοι, πολιτικές και δοκιμές. Αυτό σημαίνει ενσωμάτωση threat modelling που λαμβάνει υπόψη αλυσίδες ανάθεσης, red‑team ασκήσεις που επικεντρώνονται σε cross‑protocol επιθέσεις, και fuzzing των καναλιών επικοινωνίας για να αποκαλυφθούν απροσδόκητες συμπεριφορές. Επιπλέον, τα CI/CD pipelines θα πρέπει να ελέγχουν third‑party MCP βιβλιοθήκες για unsafe defaults.

Είναι επίσης κρίσιμο οι επιχειρήσεις να σχεδιάσουν τιμές αποκατάστασης όταν ένα agent συμπεριφέρεται κακόβουλα: απομόνωση του agent, άμεση ανανέωση credentials, και εκτενές audit trail για να εντοπιστεί πώς πέρασαν οι εντολές. Τέτοιες διαδικασίες μειώνουν τόσο τον χρόνο ανταπόκρισης όσο και την έκταση της ζημιάς.

Τι αλλάζει στην πράξη — γιατί έχει σημασία για τους χρήστες και τις εταιρείες

Η άνοδος των agent‑based workflows σημαίνει ότι οργανισμοί σε πολλούς τομείς — cloud providers, πλατφόρμες αυτοματισμού, εφαρμογές customer service, εργαλεία DevOps — αντιμετωπίζουν έναν νέο τύπο επιφάνειας επίθεσης. Ένας επιτιθέμενος που εκμεταλλεύεται τη δυνατότητα να «περνάει» από πρωτόκολλο σε πρωτόκολλο μπορεί να φτάσει σε πόρους που προηγουμένως θεωρούνταν προστατευμένοι πίσω από παραδοσιακά τείχη.

Για τους τελικούς χρήστες, αυτό μπορεί να σημαίνει απώλεια ιδιωτικών δεδομένων, παραβίαση εσωτερικών API ή ανεπιθύμητες ενέργειες που εκτελούνται στο όνομα της εφαρμογής τους. Για τις επιχειρήσεις, το κόστος περιλαμβάνει τεχνική αποκατάσταση, reputational ζημία και ενδεχομένως νομικές συνέπειες όταν η πρόσβαση αφορά ευαίσθητες πληροφορίες.

Μεταβατικά, απαιτείται συνεργασία μεταξύ vendors, open source κοινοτήτων και ερευνητών για τη διαμόρφωση κοινών προτύπων και best practices. Τα πρωτόκολλα A2A, Agent Network Protocols και τα εργαλεία MCP πρέπει να εξελιχθούν ώστε να ενσωματώνουν cross‑protocol trust frameworks, που θα διασφαλίζουν ότι οι εντολές φέρουν αποδεικτικά στοιχείων προέλευσης και περιορισμένου scope.

Συνοψίζοντας, το MCP και οι agent‑to‑agent επικοινωνίες δεν είναι απλώς μια τεχνολογική λεπτομέρεια· είναι μια αρχιτεκτονική αλλαγή που απαιτεί νέα σκέψη για την ασφάλεια. Όσο πιο γρήγορα οι οργανισμοί υιοθετήσουν ασφαλείς defaults, allow‑lists, αυθεντικοποίηση ανάθεσης και πλήρες tracing, τόσο μικρότερος θα είναι ο χώρος στον οποίο οι επιτιθέμενοι μπορούν να κάνουν «pivot» για να προκαλέσουν βλάβη.