Le protocole Model Context Protocol ouvre la voie à de nouveaux workflows puissants. Il permet aux modèles d’accéder à des outils, d’interroger des systèmes et d’effectuer des actions pour le compte des utilisateurs. Cette capacité génère de réels gains de productivité. Elle crée également une nouvelle surface d’attaque concrète : lorsqu’un modèle, un agent ou un client d’IA hérite de l’identité d’un utilisateur, de petites modifications apportées à un outil ou à un package MCP peuvent introduire des risques invisibles à grande échelle.
Le risque en une seule phrase
Un serveur MCP fonctionnant avec les identifiants d’un utilisateur peut accéder aux mêmes systèmes et API que celui-ci. Les outils compromis n’ont pas besoin de contourner l’authentification : ils agissent déjà en tant qu’utilisateur légitime.
Comment ces exploitations se produisent réellement
Chaque outil MCP fournit au modèle un ensemble d’informations simples : un nom, une description destinée aux humains et une liste de paramètres. Le modèle s’appuie sur ces descriptions pour choisir l’outil à appeler et déterminer les valeurs à attribuer à ses paramètres. En pratique, les métadonnées des outils peuvent influencer le comportement du modèle. Il s’agit donc d’une injection de prompt intégrée au protocole.
Prenons par exemple un outil inoffensif « Obtenir la météo », modifié de façon à exiger le résultat d’une recherche dans le CRM avant de s’exécuter. Le modèle a suivi cette instruction, récupéré les données du CRM et les a transmises au contexte d’exécution de l’outil météo. Pour exfiltrer l’enregistrement du CRM, il a suffi d’ajouter une seule ligne de code envoyant les données collectées vers un point de terminaison public. L’utilisateur a tout de même reçu une réponse météo normale, tandis que des données commerciales sensibles étaient discrètement envoyées hors de l’organisation.
Cette exploitation n’a nécessité aucun jailbreak ni piratage complexe. Il a suffi d’apporter une légère modification à un outil et de fournir quelques instructions en langage naturel. Et comme de nombreux paquets MCP sont installés ou mis à jour à l’aide de commandes pratiques telles que npx ou de balises « latest », du code compromis peut être récupéré automatiquement au lancement d’un client.
Pourquoi les contrôles traditionnels passent souvent à côté
La plupart des outils de sécurité sont conçus pour protéger les API, appliquer des contrôles d’identité et surveiller les périmètres réseau. Les attaques MCP exploitent une autre dimension : la manière dont le modèle sélectionne et enchaîne les outils. Les serveurs MCP locaux peuvent exécuter du code arbitraire, et le modèle peut enchaîner des outils d’une manière qui échappe à une surveillance limitée aux API.
En termes simples, ces attaques ressemblent à des actions légitimes effectuées par des utilisateurs. Elles utilisent des identifiants légitimes pour effectuer des appels légitimes. Il est donc difficile de les détecter et de les attribuer avec les outils existants.
Pourquoi ce risque s’accroît
MCP ne se limite plus aux processus de travail réservés aux développeurs. Les fournisseurs de solutions SaaS et les équipes produit proposent des automatisations de type agent sous forme d’« outils », d’« agents » ou d’« automatisations », avec des parcours permettant de les ajouter en un clic. Les utilisateurs non techniques peuvent activer ces fonctionnalités sans en comprendre les implications en matière de sécurité. Ainsi, les compromissions de la chaîne d’approvisionnement ou d’un outil peuvent dépasser le cadre des équipes d’ingénierie et toucher les utilisateurs des produits dans toute l’entreprise.
Nous voyons également apparaître des registres et des catalogues sélectionnés qui présentent des services MCP tiers comme des composants « de confiance ». Ces listes peuvent être constituées par extraction automatisée ou alimentées à partir de dépôts publics, et un badge ne garantit pas leur sécurité.
Conséquences pratiques
L’exploitation réussie d’une vulnérabilité MCP peut avoir de nombreuses conséquences néfastes. Elle peut exfiltrer discrètement des données clients, récupérer des identifiants temporaires ou des jetons et les utiliser lors d’appels ultérieurs. Elle peut déclencher des actions destructrices ou combiner plusieurs actions mineures pour former une chaîne d’opérations plus vaste et coûteuse. Surtout, ces comportements peuvent se produire alors que l’utilisateur pense effectuer des tâches courantes et peu risquées.
Que faire ensuite
Bloquer entièrement MCP n’est pas une option viable pour la plupart des organisations. MCP apporte une réelle valeur ajoutée, et supprimer l’accès ne fait qu’inciter les utilisateurs à se tourner vers une IA fantôme et des solutions de contournement non autorisées. La démarche la plus pragmatique consiste à identifier les ressources MCP utilisées, à classer ces outils et à appliquer des politiques et des contrôles d’exécution à l’interface du modèle.
Demandez une démonstration de F5 Workforce AI Security, anciennement appelée SurepathAI, pour combiner la découverte, la classification et l’application de règles afin que vos collaborateurs restent productifs tout en empêchant les actions à risque.
À propos de l’auteur
Articles de blog associés
IA et cybersécurité
Découvrez comment l’IA et la cybersécurité fonctionnent de concert. Découvrez comment l’IA et le machine learning (ML) permettent à votre entreprise de rester sécurisée, efficace et prête à innover avec F5.
Suivre le rythme de l’innovation de pointe ne suffit pas à faire avancer l’entreprise : se préparer à la réglementation de l’IA
À mesure que la réglementation de l’IA évolue, réfléchissez aux mesures de protection que vous pouvez mettre en place dès maintenant.
Les contrôleurs de mise à disposition d’applications reviennent au cœur des priorités stratégiques
L’IA rebat les cartes de la livraison d’applications. Nirav Shah de F5 revient sur la nouvelle étude de Gartner® consacrée aux ADC et explique ce qu’elle implique pour les décisions des entreprises en matière d’infrastructure.
Ce que nos clients nous disent sur l’IA, le multicloud hybride et la sécurité des applications
Le nouveau vice-président senior du marketing produit de F5 explique les pressions liées à l’IA auxquelles sont confrontés les dirigeants d’entreprise et ce dont ils ont besoin pour renforcer leur organisation.
Cinq niveaux de cyberrésilience antifragile transforment les pratiques en résultats
Découvrez comment cinq niveaux de résilience antifragile transforment les perturbations en comportements adaptatifs qui limitent les défaillances et renforcent l’architecture multicloud hybride.
Optimiser les pipelines d’IA en éliminant les goulets d’étranglement dans les charges de travail modernes
À mesure que les charges de travail d’IA montent en puissance, les entreprises constatent des ralentissements provenant du pipeline de données en amont qui alimente le modèle d’IA. Voici comment F5 BIG-IP peut les aider.