Le protocole MCP fait face à des défis de sécurité

Un chercheur indépendant, Syed Anas Mohiuddin, a révélé des vulnérabilités dans le Model Context Protocol (MCP) qui pourraient permettre à des instructions génératives malveillantes de circuler entre des agents d'IA. Ces failles découlent de la confiance par défaut entre les agents et de la manière dont les serveurs MCP stockent les identifiants des agents.

La méthode d'attaque repose sur la falsification de requêtes côté serveur

Mohiuddin a démontré qu'une instruction générative bien conçue, adressée à l'agent approprié, pouvait conduire à une vulnérabilité de falsification de requêtes côté serveur (SSRF). Cela permet à un serveur web d'effectuer des requêtes réseau non autorisées, difficiles à détecter, car chaque protocole ne surveille que son propre point d'entrée.

Plusieurs organisations ont reconnu des vulnérabilités du MCP

Au cours des cinq derniers mois, plusieurs grandes organisations, dont Google, JP Morgan Chase, Weaviate, Rapid7, la Direction interministérielle du numérique française et le gouvernement fédéral américain, ont confirmé des vulnérabilités liées au protocole MCP. Dans chaque cas, un attaquant a convaincu un agent d'IA d'envoyer des instructions malveillantes à d'autres agents.

Le MCP est un cadre open source pour les systèmes d'IA

Le Model Context Protocol (MCP) est un cadre ouvert et open source lancé par Anthropic en novembre 2024. Il vise à normaliser la manière dont les systèmes d'IA, tels que les grands modèles de langage (LLM), s'intègrent aux outils, aux systèmes et aux sources de données externes, et partagent des données avec eux.

Le MCP a été adopté par les grands fournisseurs d'IA

Après son lancement, le protocole MCP a été adopté par de grands fournisseurs d'IA comme OpenAI et Google DeepMind. En décembre 2025, Anthropic a confié le protocole à l'Agentic AI Foundation, un fonds placé sous l'égide de la Linux Foundation, afin de contribuer à établir des référentiels de fiabilité et de sécurité pour les agents.

Le MCP a essuyé les critiques de grandes entreprises d'IA

En mars 2026, deux grandes entreprises d'IA ont mis en doute la viabilité du MCP. Le directeur technique de Perplexity a annoncé que l'entreprise abandonnait le MCP au profit des API REST classiques. Cloudflare a également critiqué l'architecture du protocole, qu'elle juge inadaptée aux agents d'IA à grande échelle.

Les vulnérabilités ont mis en lumière des faiblesses dans les systèmes d'entreprise

Les preuves de concept de Mohiuddin ont montré que les serveurs MCP stockent les identifiants des agents et que les agents se font mutuellement confiance par défaut. Un attaquant peut ainsi envoyer des instructions malveillantes à d'autres agents, qui les exécutent en raison de cette relation de confiance.

Les vulnérabilités varient en gravité

La gravité des vulnérabilités relevées chez différentes organisations a varié. Chez Rapid7, la faille a reçu une note de 2,7 sur 10, tandis que chez Google, le problème a été noté 8 sur 10. La correction apportée par Google consiste à mettre en place des listes blanches et des listes noires d'adresses IP afin d'empêcher les requêtes non autorisées.

Une nouvelle méthode d'attaque baptisée « protocol pivoting »

Mohiuddin a introduit la notion de « protocol pivoting », une technique par laquelle un attaquant utilise un premier protocole pour accéder à un système, puis exploite les hypothèses de confiance pour étendre ses capacités grâce à un autre protocole. Cette méthode peut contourner les mesures de sécurité reposant sur l'hypothèse d'une confiance au sein d'un seul protocole.

Un expert souligne la rapidité d'adoption du protocole

Markus Vervier, de X41 D-Sec, a relevé que le fait que le « protocol pivoting » ait fonctionné chez plusieurs organisations utilisant le MCP est remarquable. Selon lui, l'adoption rapide du protocole a devancé ses phases de tests et de renforcement, ce qui a engendré des risques pour la sécurité.

Une mise à jour majeure du MCP à la fin de 2026

Dès la fin juillet 2026, le Model Context Protocol (MCP) a connu sa mise à jour la plus importante depuis son lancement. Cette mise à jour a rendu le cœur du protocole sans état et introduit une politique de dépréciation prévoyant un délai minimal de 12 mois avant la suppression de fonctionnalités.