OX Security kartla 15 465 MCP-servere: seks forlatte domener kan kjøpes for 4 dollar

Sikkerhetsselskapet OX Security har gått gjennom 15 465 publiserte MCP-servere fra tre offentlige registre (det offisielle MCP-registeret, Cline-markedsplassen og GitHubs MCP-register) og snevret dem inn til 5 095 unike vertsnavn. 2,3 prosent av vertsnavnene svarer ikke lenger i DNS, og seks av domenene var uregistrerte og kunne kjøpes for 4 til 12 dollar i året. Den som kjøper ett av dem, kan utgi seg for serveren som lå der, overfor alle agenter som fortsatt har adressen i konfigurasjonen sin. Rapporten ble publisert 24. september.

Det mest konkrete funnet er et angrep. OX testet Claude Code sammen med Haiku 3.5 mot en ondsinnet MCP-server. Serveren ba først om å lese en harmløs fil, og brukeren svarte med always-allow. Deretter ba serveren om sensitive filer, blant dem .env, og fikk dem uten noen ny bekreftelse. Det samme angrepet ble oppdaget og stoppet av Opus 4.6 og 4.7. Anthropic svarte ifølge OX at dette er dokumentert oppførsel når always-allow først er gitt, og at modellens gjenkjenning av ondsinnet innhold er en heuristikk etter beste evne, ikke en sikkerhetsgrense.

Med andre ord: vernet ditt avhenger i dag av hvilken modell som svarer. Bytter du til en billigere modell for å spare tokens, bytter du også bort den eneste sperren som stoppet angrepet i testen.

Resten av funnene handler om hvor agentene faktisk kobler seg til. 796 av vertsnavnene, 15,6 prosent, peker til infrastruktur utenfor USA, 19 av dem i Kina og 18 i Russland. 0,45 prosent går gjennom hjemmenett eller tunneltjenester for forbrukere, uten oppetidsgaranti, tilgangskontroll eller revisjonslogg.

«Du kan inspisere koden, men serveren kan inneholde en annen versjon. Du vet heller ikke hvem som kontrollerer serveren, hvilke data de samler inn eller hva de kan endre i fremtidige oppdateringer» — Moshe Siman Tov Bustan, forskningsleder i OX Security

For norske utviklere er geografien mer enn en fotnote. Sender agenten persondata til et verktøy som kjører utenfor EØS, kan det bli et spørsmål om overføring til tredjeland etter GDPR, selv om serveren ble lagt til på fem minutter fra en markedsplass. Bex.co, som lager en selvhostet deploy-plattform, trekker samme konklusjon for alt som når produksjon:

«ingen MCP-server som ikke er allowlistet, pinnet og har trinnvis godkjenning, rører en produksjonsdeploy» — bex.co, i en gjennomgang av OX-rapporten

Bakgrunn

Anthropic lanserte MCP i november 2024 som en åpen standard for å koble KI-agenter til eksterne verktøy og datakilder. Protokollen bestemmer ikke hvor en server skal kjøre, hvem som skal drifte den, hvilke data den kan motta eller om koden bak en levende server er den samme som den publiserte kildekoden. Alt det faller på den som kobler seg til.

Hva bør du gjøre?

1. Før opp hvert MCP-vertsnavn agentene dine får nå, og blokker resten i en egress-proxy. Allowlisten er det de andre tiltakene henger på.
2. Sjekk at domenene i MCP-konfigurasjonen din fortsatt er registrert, og pin serverne til en versjons-hash eller image-digest, eller kjør dem selv, slik at et gjenoppstått domene med ny kode feiler i stedet for å arve tilliten.
3. Gi always-allow bare for lesing fra servere du har gått gjennom selv, og legg inn en deny-regel for Read(./.env) i settings.json for Claude Code, slik at hemmelighetene ikke kan leses uansett hva en server ber om.