«Forsvarere overvåker den observerbare halvdelen,» skriver Noma Security i sin nye whitepaper, og peker på et hull mellom hvordan KI-agenter loggføres på tvers av to utvidelses-mekanismer. Når en agent kaller et MCP-verktøy, ser forsvareren parametrene gå ut og responsen komme tilbake. Når en Claude Skill lastes inn, ser man at den lastes, men hva som skjer i modellens resonnering er ugjennomtrengelig.
Analysen fant arbitrær kodekjøring som vanlig kapabilitet i MCP-landskapet. Et typisk bedriftsmiljø kjører godt over hundre høy-risiko-verktøy koblet til agentene sine, og den vanligste risikoen på tvers av begge mekanismer er evnen til å endre tilstand eller data, noe som gir agenter posisjon til å gjøre uopprettelig skade gjennom enten angrep eller hallusinasjon.
Noma identifiserer fem giftige kombinasjoner med navn knyttet til reelle hendelser. ContextCrush forgiftet et Context7-bibliotek slik at Cursor-agenten lastet ned skjulte instruksjoner som dumpet lokale filer til en angriper-kontrollert GitHub-issue. ForcedLeak smuglet instruksjoner inn via Salesforce Web-to-Lead, og Agentforce eksfiltrerte data via en bilde-URL som lå på Salesforces egen CSP-whiteliste. DockerDash tucket prompt-injeksjon inn i Docker-image-metadata. Replit-agenten slettet en produksjonsdatabase med over 1 200 lederposter under en kodefrys.
«Halvparten av MCP-er som kan kommunisere eksternt har også upålitelig input og sensitiv datatilgang i samme verktøysett.» — Noma Security, fra whitepaperet
Forslaget heter «No Excessive CAP» og bygger på OWASP LLM06:2025. Tre dimensjoner multipliseres mot hverandre: kapabiliteter (hva agenten kan gjøre), autonomi (hvor mye den bestemmer alene) og tillatelser (hvilken identitet den kjører under). En agent som kan alt, bestemmer alt, og kjører med admin-rettigheter er det farligste oppsettet.
Hva bør du gjøre?
- Pinn MCP-server-versjoner i stedet for å bruke
@latest. Statiske Skills motstår rug-pull-angrep, men@latest-MCP-er henter nye pakkeversjoner ved hver agent-load. - Sett godkjenningsporter på irreversible handlinger. Filsletting, eposter ut, databaseskriving og betalinger bør kreve menneske-i-løkken.
- Bytt til delegerte, brukerbundne credentials med utløp i stedet for delte tjenestekontoer. Tre revisjonsspørsmål: én delt eller én per bruker, scoped eller arvet, utløper eller permanente?