Sécurité du Model Context Protocol (MCP) : Guide complet

Les serveurs MCP centralisent les identifiants, créant des points de défaillance uniques. Ce guide détaille la sécurité des intégrations d’agents IA contre l’empoisonnement d’outils, l’injection et les attaques sur les identifiants.

Qu'est-ce que la sécurité MCP ?

Les serveurs MCP agrègent les identifiants pour plusieurs services d'entreprise, créant un point de défaillance unique qui expose l'ensemble de votre organisation en cas de compromission. Un seul serveur MCP compromis, déployé sans contrôles d'authentification, donne aux attaquants l'accès à toutes les bases de données, systèmes de fichiers et services cloud intégrés auxquels votre assistant IA se connecte. Ce schéma de vulnérabilité a permis une exploitation réelle dans CVE-2025-49596 (CVSS 9.4), où des attaquants ont exécuté des commandes arbitraires via des instances MCP Inspector non authentifiées.

Model Context Protocol (MCP) est une norme ouverte publiée par Anthropic fin 2024 qui connecte les assistants IA aux sources de données et outils d'entreprise via une architecture client-serveur. La sécurité MCP englobe les contrôles, pratiques et cadres nécessaires pour protéger ces intégrations contre l'exploitation. Selon la spécification officielle MCP, le protocole « n'impose explicitement aucune sécurité au niveau du protocole », laissant l'entière responsabilité de la mise en œuvre aux équipes de sécurité.

Lorsque vous déployez un serveur MCP, vous créez un pont entre les moteurs de raisonnement IA et l'infrastructure d'entreprise. Ce serveur stocke des jetons OAuth pour plusieurs services, exécute des commandes système, lit des fichiers et interroge des bases de données. Les équipes de sécurité sont confrontées à plusieurs catégories de vulnérabilités documentées, dont trois CVE critiques suivies par la National Vulnerability Database. Le premier package MCP malveillant est apparu en septembre 2025, opérant sans détection pendant deux semaines tout en exfiltrant des données de messagerie.

Ces risques expliquent pourquoi la sécurité MCP croise des disciplines plus larges de la cybersécurité.

Comment la sécurité MCP se rapporte à la cybersécurité

La sécurité MCP croise  la gestion des identités et des accès,  la sécurité de la chaîne d'approvisionnement et des attaques spécifiques à l'IA que les outils existants ne sont pas conçus pour arrêter. L'architecture du protocole crée trois frontières de sécurité : la couche de transport gérant la communication entre clients et serveurs, la couche protocolaire gérant la messagerie JSON-RPC 2.0 pour la négociation du cycle de vie et des capacités, et la couche de données définissant les outils, ressources, invites et notifications auxquels les agents accèdent.

La CISA a publié des recommandations conjointes le 22 mai 2025, soulignant que la sécurité des données est essentielle pour garantir la fiabilité des systèmes IA. Cette reconnaissance gouvernementale indique que l'infrastructure des agents IA fait partie du paysage d'attaque que les équipes SOC doivent surveiller. Le projet OWASP MCP Top 10 a établi le premier cadre standard de l'industrie pour la classification des risques MCP, fournissant une méthodologie structurée d'évaluation des risques pour les équipes de sécurité évaluant l'intégration de l'IA.

La sécurité périmétrique traditionnelle échoue face aux attaques MCP car elles opèrent au niveau sémantique du langage naturel. Contrairement aux menaces basées sur les signatures, les attaques MCP exploitent le processus de raisonnement du modèle IA via des techniques telles que l'empoisonnement d'outils et l'injection d'invite. Ces schémas contournent totalement l'identification conventionnelle, nécessitant une analyse comportementale et des contrôles de sécurité contextuels.

Répondre à ces schémas d'attaque nécessite de comprendre les composants architecturaux qui protègent les déploiements MCP.

Composants clés de la sécurité MCP

L'architecture de sécurité MCP doit couvrir des contrôles fondamentaux couvrant l'architecture, la gestion des accès, l'identification et la gouvernance.

1. Couche d'authentification et d'autorisation : Les serveurs MCP exigent OAuth 2.1 avec PKCE, une portée au niveau des capacités et la prévention de l'accès à des jetons à large portée via la fuite de journaux ou le scraping mémoire.
2. Sécurité du transport : Appliquer TLS 1.2+ avec des suites de chiffrement robustes, mettre en œuvre le TLS mutuel (mTLS) pour les communications serveur à serveur et activer la protection contre le rebinding DNS. Le  SDK MCP TypeScript n'active pas cette protection par défaut selon GitHub Security Advisory GHSA-w48q-cv73-mx4w.
3. Pipeline de validation des outils : Les contrôles de sécurité doivent valider en trois étapes : (1) filtrage basé sur des modèles pour l'injection de commandes et d'invites, (2) identification neuronale pour les attaques sémantiques dans les descriptions d'outils, et (3) arbitrage basé sur LLM pour les cas limites.
4. Gestion des identifiants : Les serveurs MCP agrègent les jetons OAuth pour plusieurs services. Utilisez des coffres-forts d'entreprise tels qu'AWS Secrets Manager ou HashiCorp Vault, mettez en place une rotation automatique, utilisez des jetons à durée de vie courte et protégez contre la fuite de journaux et le scraping mémoire.
5. Infrastructure d'identification et de surveillance : Journalisez toutes les opérations MCP, y compris les invocations d'outils avec paramètres, les tentatives d'authentification, l'accès aux ressources et les violations de portée. Corrélez les événements MCP avec le comportement des identités et le trafic réseau dans votre SIEM.

Ces composants fonctionnent ensemble dans un flux d'exécution coordonné qui traite chaque requête MCP.

Comment fonctionne la sécurité MCP

La sécurité MCP fonctionne via des contrôles en couches qui protègent chaque étape des interactions des agents IA avec les systèmes d'entreprise.

• Architecture de passerelle centralisée : Un proxy de passerelle centralisée applique des politiques cohérentes, surveille les comportements et impose des garde-fous. La passerelle applique la liste blanche des serveurs MCP approuvés, centralise le contrôle d'accès et l'identification, et inspecte toutes les invocations d'outils. Cela empêche les serveurs MCP non autorisés d'accéder aux ressources d'entreprise, quel que soit le mode de configuration des environnements locaux par les développeurs.
• Phase de négociation des capacités : Lors de l'initialisation, la passerelle inspecte les capacités du serveur par rapport aux règles de politique, bloquant les serveurs demandant des autorisations excessives. Des contrôles d'accès fins associent des rôles utilisateurs spécifiques à des capacités d'outils spécifiques.
• Phase d'exécution à l'exécution : Lorsque les agents IA invoquent des outils MCP, la couche de sécurité valide les paramètres d'entrée pour détecter les attaques par injection, isole l'exécution des outils et journalise le contexte forensique complet.
• Identification continue : Les plateformes de sécurité analysent le trafic MCP à l'aide d'un pipeline d'identification multi-étapes combinant filtrage basé sur des modèles, analyse par réseau neuronal et identification d'anomalies comportementales.
• Flux de réponse aux incidents : Lorsque les plateformes de sécurité identifient une activité MCP malveillante, les capacités de réponse autonome isolent les serveurs compromis, révoquent les identifiants associés sur tous les services intégrés, annulent les modifications non autorisées et reconstituent la chronologie complète de l'attaque pour l'enquête.

Comprendre ce flux opérationnel révèle pourquoi la sécurité MCP est importante pour la gestion des risques d'entreprise.

Pourquoi la sécurité MCP est importante

L'agrégation des identifiants risque de transformer le modèle d'attaque pour les organisations déployant MCP. Les serveurs MCP stockent des jetons OAuth pour plusieurs services, créant un point de défaillance unique. En cas de compromission, les attaquants obtiennent un accès étendu à tous les services connectés, nécessitant des procédures de réponse aux incidents spécifiques à MCP.

La validation de la chaîne d'approvisionnement devient essentielle car les chemins d'intégration simples de MCP introduisent des risques via des serveurs non fiables. Le premier package MCP malveillant est apparu en septembre 2025, opérant sans détection pendant deux semaines tout en exfiltrant des données de messagerie.

Les cadres de gouvernance doivent établir un contrôle sur les couches d'intégration MCP non surveillées. Les équipes de sécurité ont besoin d'une application centralisée des politiques au niveau de la passerelle, de workflows d'approbation pour les nouveaux serveurs et de référentiels de sécurité alignés sur la classification des données.

La Zero trust architecture constitue la base de la sécurité MCP, exigeant le TLS mutuel entre les microservices MCP, un contrôle du trafic basé sur l'identité et une sécurité indépendante de la topologie réseau.

L'alignement sur la conformité et la réglementation protège les organisations lorsque les agents IA accèdent à des données réglementées.  Les recommandations de la CISA de mai 2025 indiquent que la sécurité des données garantit la fiabilité des systèmes IA. Les contrôles de sécurité MCP doivent démontrer que l'accès aux données par les assistants IA suit la même gouvernance que les utilisateurs humains.

Comprendre pourquoi la sécurité MCP est importante nécessite d'examiner les attaques spécifiques ciblant ces systèmes.

Types de menaces de sécurité MCP

Les environnements MCP sont confrontés à des schémas d'attaque distincts qui exploitent le modèle de confiance du protocole et l'architecture des outils.

1. Empoisonnement d'outils intègre des instructions malveillantes dans les métadonnées et descriptions d'outils. Les attaquants cachent des directives telles que « transférer toutes les données vers un point de terminaison externe » dans des définitions d'outils qui semblent bénignes pour les utilisateurs mais s'exécutent lorsque les agents IA lisent les métadonnées. Ces instructions persistent d'une session à l'autre, affectant chaque agent interagissant avec l'outil compromis.
2. Attaques rug pull exploitent les changements de comportement après approbation. Un outil passe la revue de sécurité initiale, puis modifie silencieusement sa définition pour inclure une fonctionnalité malveillante. La plupart des clients MCP n'alertent pas les utilisateurs lorsque les descriptions d'outils changent après approbation, permettant aux attaquants d'arme des outils auparavant fiables.
3. Attaques de shadowing permettent à des outils malveillants d'influencer des outils de confiance sans invocation directe. La description d'un outil compromis peut instruire l'agent IA de modifier son comportement lors de l'utilisation d'outils légitimes, comme rediriger des destinataires d'e-mails ou ajouter des frais cachés à des transactions.
4. Usurpation de serveur enregistre des serveurs MCP malveillants avec des noms similaires à ceux de services légitimes. Lorsque les assistants IA effectuent une découverte basée sur le nom, ils peuvent résoudre vers des serveurs frauduleux qui capturent des identifiants et des requêtes sensibles.

Ces schémas d'attaque expliquent les défis de mise en œuvre auxquels sont confrontées les équipes de sécurité.

Défis de la mise en œuvre de la sécurité MCP

Les équipes de sécurité sont confrontées à plusieurs obstacles lors de la sécurisation des déploiements MCP :

• Lacunes architecturales : La responsabilité de la sécurité repose entièrement sur les équipes de mise en œuvre sans directives au niveau du protocole. La  spécification officielle MCP indique explicitement qu'elle « ne peut pas imposer ces principes de sécurité au niveau du protocole », créant des décalages entre les attentes des développeurs et la réalité de la sécurité.
• Limites de visibilité : La surveillance traditionnelle a du mal avec les schémas de messagerie JSON-RPC 2.0 et les déploiements distribués, nécessitant une instrumentation personnalisée pour suivre l'activité des serveurs MCP.
• Prolifération des outils : Les organisations déploient des serveurs MCP dans différents départements sans gouvernance centralisée. Sans inventaire centralisé, les équipes de sécurité ne peuvent pas appliquer de contrôles cohérents ni suivre quels serveurs ont accès à des identifiants sensibles.
• Nouveaux schémas d'attaque : Les attaques sémantiques telles que l'empoisonnement d'outils et le shadowing contournent totalement les outils basés sur les signatures, nécessitant des modèles contextuels capables de comprendre la manipulation du langage naturel.
• Complexité de la réponse aux incidents : Une seule compromission affecte plusieurs services simultanément. Les playbooks existants supposent un confinement par service, mais les incidents MCP nécessitent une révocation coordonnée des identifiants sur tous les systèmes intégrés et une analyse forensique couvrant l'identité,  la sécurité des endpoints et  la sécurité cloud.

Ces défis conduisent souvent à des erreurs de mise en œuvre courantes.

Erreurs courantes en sécurité MCP

Les évaluations de sécurité révèlent des schémas récurrents où les organisations ne parviennent pas à sécuriser efficacement les déploiements MCP.

• Déploiement sans authentification : Les organisations déploient fréquemment des serveurs MCP accessibles sur les réseaux sans mettre en œuvre de mécanismes d'authentification. Selon les  meilleures pratiques de sécurité MCP, il n'est pas recommandé d'exécuter des serveurs MCP sans authentification. Les attaquants découvrent ces serveurs exposés via le scan de ports, se connectent sans identifiants et exécutent des outils arbitraires avec tous les privilèges.
• Mauvaise mise en œuvre du sandbox : Les analyses de compromission identifient une application insuffisante du confinement des répertoires comme cause racine dans des incidents documentés. Les serveurs MCP qui exécutent des opérations sur les fichiers sans validation de chemin permettent des attaques par traversée de répertoires, permettant aux attaquants d'accéder à des fichiers de configuration contenant des mots de passe de base de données, des clés API et des identifiants cloud.
• Installation de serveurs non fiables : Les équipes installent des serveurs MCP provenant de sources non fiables sans revue de code ni analyse de sécurité. Des chercheurs en sécurité ont documenté des serveurs MCP malveillants qui apparaissaient comme des outils légitimes tout en mettant en œuvre la collecte d'identifiants. Les organisations ne surveillent pas non plus les attaques rug pull où des outils précédemment approuvés changent de comportement après le déploiement.
• Portées d'autorisation excessives : La spécification de sécurité MCP avertit que les attaquants obtiennent des jetons d'accès avec des portées larges (telles que files:*, db:*, et admin:*) via la fuite de journaux, le scraping mémoire ou l'interception locale. Les serveurs MCP qui demandent toutes les autorisations disponibles lors de l'autorisation initiale ne mettent pas en œuvre la limitation des permissions au niveau des capacités.
• Surveillance insuffisante : La télémétrie limitée des systèmes Model Context Protocol complique l'investigation.  Les journaux de sécurité qui omettent des détails critiques ne permettent pas de reconstituer la chronologie des attaques. La surveillance doit inclure la journalisation de toutes les opérations, le suivi des tentatives d'authentification et garantir l'intégration SIEM.

Éviter ces erreurs nécessite de suivre des cadres de sécurité établis.

Meilleures pratiques de sécurité MCP

Déployez une architecture de passerelle MCP centralisée comme contrôle architectural fondamental. La passerelle proxy toutes les communications MCP, applique la liste blanche des serveurs MCP approuvés, centralise le contrôle d'accès et l'identification, et inspecte toutes les invocations d'outils. Ce schéma architectural fournit le point de contrôle unique où les organisations appliquent la politique de manière cohérente sur tous les workflows agentiques.

Mettez en œuvre l'accès au moindre privilège avec une gestion granulaire des portées au niveau des capacités :

• Associez les rôles utilisateurs à des capacités d'outils spécifiques
• Validez dynamiquement les demandes de portée lors de l'autorisation
• Utilisez la limitation des permissions au niveau des capacités au lieu de jetons à large portée
• Protégez contre le vol de jetons via la fuite de journaux, le scraping mémoire ou l'interception locale

Établissez des contrôles de sécurité de la chaîne d'approvisionnement des serveurs MCP avant tout déploiement en production. Le processus d'approbation exige des tests de sécurité applicative statiques et une analyse de vulnérabilité sur tous les serveurs, une vérification cryptographique de l'intégrité du serveur et une analyse des packages pour  malwares et instructions malveillantes cachées. Figez les versions spécifiques des serveurs MCP et alertez les administrateurs en cas de modification.

Déployez des pipelines d'identification multi-couches conçus pour l'empoisonnement d'outils MCP et les attaques sémantiques. L'approche d'identification en trois étapes inclut le filtrage basé sur des modèles pour l'injection de commandes, l'identification neuronale pour les attaques sémantiques dans les descriptions d'outils et l'arbitrage basé sur LLM pour les cas limites où les adversaires manipulent les métadonnées d'outils pour tromper les agents IA.

Mettez en œuvre la journalisation d'audit intégrée aux plateformes SIEM. L'infrastructure de journalisation doit capturer chaque invocation d'outil avec le contexte complet. Surveillez les schémas anormaux, y compris les séquences d'accès inhabituelles aux outils, les tentatives d'escalade de privilèges et les indicateurs d'exfiltration de données.

Sécurisez la gestion des identifiants et secrets via des coffres-forts d'entreprise. Intégrez AWS Secrets Manager ou HashiCorp Vault pour protéger les clés API et les identifiants OAuth. Mettez en place une rotation automatique et des jetons à durée de vie courte. Protégez contre la fuite de journaux et le scraping mémoire en déployant un coffre-fort de jetons sécurisé.

Appliquez la sécurité du transport et les contrôles réseau. Exigez TLS 1.2+ avec des suites de chiffrement robustes, mettez en œuvre le TLS mutuel pour les communications serveur à serveur et isolez les serveurs MCP dans des segments réseau dédiés avec des règles de pare-feu appropriées.

Établissez des cadres de gouvernance avec une application autonome des politiques. Les politiques d'utilisation formelles de MCP s'alignent sur la classification des données et les standards de contrôle d'accès. L'application autonome des politiques au niveau de la passerelle, les workflows d'approbation pour les nouveaux déploiements de serveurs, les revues régulières de sécurité des schémas d'accès aux outils et les contrôles de  prévention des pertes de données empêchent l'exposition d'informations sensibles via les intégrations MCP.

Stoppez les attaques MCP avec SentinelOne

Purple AI détecte les activités MCP suspectes via l'investigation en langage naturel, corrélant les événements MCP dans le data lake de sécurité jusqu'à 80 % plus rapidement que les méthodes manuelles. Interrogez Purple AI : « Afficher toutes les invocations d'outils par l'utilisateur X au cours des dernières 24 heures » ou « Quels identifiants ont été exposés via ce serveur MCP ? » La technologie Storyline de SentinelOne reconstitue les chaînes d'attaque MCP complètes, montrant comment les serveurs compromis accèdent à plusieurs services et exécutent des outils non autorisés. L'IA comportementale de SentinelOne détecte les menaces zero-day et les nouveaux schémas d'attaque opérant au niveau sémantique, générant  88 % d'alertes en moins pour éliminer la fatigue d'alerte qui empêche une surveillance MCP efficace.

MCP crée des couches non surveillées entre les outils IA et les données d'entreprise. Relever ce défi de gouvernance nécessite une architecture de sécurité en profondeur : passerelle MCP centralisée pour l'application des politiques, contrôles d'accès au moindre privilège, revues de sécurité de la chaîne d'approvisionnement et pipelines d'identification multi-couches. Les équipes de sécurité doivent mettre en œuvre la limitation des permissions au niveau des capacités sur les outils, des connexions de serveurs MCP authentifiées, des journaux d'audit centralisés et une surveillance continue du trafic agent-outil.

Le  Singularity Data Lake de SentinelOne ingère et normalise les données de sécurité provenant de sources natives et tierces selon les standards OCSF (Open Cybersecurity Schema Framework). Les workflows de  threat hunting corrèlent les événements de sécurité sur plusieurs plateformes pour détecter des attaques sophistiquées telles que le vol d'identifiants, les tentatives d'escalade de privilèges et les séquences d'accès inhabituelles aux données via l'analyse des schémas comportementaux et l'identification d'anomalies.

Demandez une démo avec SentinelOne pour voir comment la sécurité autonome stoppe les attaques MCP avant que l'agrégation des identifiants ne permette une compromission à l'échelle de l'entreprise.

Points clés à retenir

La sécurité MCP représente un point d'inflexion critique pour les équipes de sécurité d'entreprise à mesure que les assistants IA accèdent à l'infrastructure de production. L'architecture d'agrégation des identifiants du protocole crée des points de défaillance uniques où un serveur compromis expose les jetons OAuth sur chaque service intégré. Les organisations doivent mettre en œuvre des contrôles de défense en profondeur incluant une architecture de passerelle centralisée, la limitation des permissions au niveau des capacités, la validation de la chaîne d'approvisionnement et des pipelines d'identification multi-couches combinant filtrage basé sur des modèles et analyse comportementale pour stopper l'empoisonnement d'outils et les attaques par injection d'invite.

Les équipes de sécurité doivent prioriser les actions immédiates : inventorier les déploiements MCP existants, mettre en œuvre des connexions de serveurs authentifiées et établir la journalisation d'audit sous 30 jours. Déployer l'architecture de passerelle et les workflows d'approbation sous 90 jours, puis construire des cadres complets d'identification et de gouvernance sous 180 jours. L'OWASP MCP Top 10 fournit le cadre standard de l'industrie pour l'évaluation des risques, tandis que des plateformes comme SentinelOne offrent l'IA comportementale, la corrélation inter-plateformes et les capacités d'investigation en langage naturel nécessaires pour détecter et stopper les attaques MCP avant que le vol d'identifiants ne permette une compromission à l'échelle de l'entreprise.

FAQ

Qu’est-ce que la sécurité du Model Context Protocol ?

La sécurité MCP fait référence aux contrôles, pratiques et cadres qui protègent les intégrations Model Context Protocol contre l'exploitation. MCP connecte les assistants IA aux sources de données d'entreprise via une architecture client-serveur, créant des frontières de sécurité au niveau du transport, du protocole et des données. 

Étant donné que la spécification MCP n'impose pas de sécurité au niveau du protocole, les organisations doivent mettre en œuvre des contrôles d'authentification, d'autorisation, de surveillance et de gouvernance pour se protéger contre les risques d'agrégation d'identifiants et les attaques spécifiques à l'IA.

Quel est le principal risque de sécurité avec les implémentations MCP ?

L’agrégation des identifiants constitue la vulnérabilité principale. Les serveurs MCP stockent les jetons OAuth pour plusieurs services intégrés, créant un point de défaillance unique. En cas de compromission, les attaquants obtiennent un accès à l’ensemble des services connectés. 

En environnement d’entreprise, la compromission d’un serveur MCP expose les ressources organisationnelles sur plusieurs systèmes intégrés, offrant aux attaquants un accès simultané à chaque service connecté authentifié par l’utilisateur ou l’organisation.

Comment fonctionnent les attaques par empoisonnement d’outils contre les serveurs MCP ?

L’empoisonnement des outils manipule le comportement des agents IA en intégrant des instructions cachées dans les définitions de serveur et les descriptions d’outils. Les attaquants modifient les métadonnées pour inclure des directives malveillantes que les modèles d’IA interprètent comme des paramètres légitimes. 

Ces attaques sémantiques contournent les outils de sécurité basés sur les signatures car elles opèrent au niveau du raisonnement en langage naturel, nécessitant des approches  de sécurité pilotées par l’IA qui analysent les schémas comportementaux et le contexte sémantique pour identifier les modifications malveillantes des outils.

Les outils de sécurité existants peuvent-ils protéger contre les vulnérabilités MCP ?

Les outils de sécurité dédiés pour MCP sont encore en cours de maturation. Les règles SIEM traditionnelles et l’identification basée sur les signatures ne détectent pas les attaques sémantiques ni l’empoisonnement des outils. Une sécurité MCP efficace nécessite un pipeline d’identification en trois étapes : une identification légère basée sur des modèles pour les attaques manifestes, une identification neuronale profonde pour les attaques sémantiques complexes, et une arbitrage intelligent basé sur LLM pour les cas limites. 

Les organisations devraient combiner l’analyse comportementale et l’identification pilotée par l’IA avec une revue manuelle du code jusqu’à ce que les outils de sécurité MCP spécialisés arrivent à maturité.

Qu’est-ce que le cadre OWASP MCP Top 10 ?

Le OWASP MCP Top 10 fournit le premier système de classification standardisé de l'industrie pour les risques de sécurité liés au Model Context Protocol. Ce projet officiel d’OWASP établit des cadres standardisés pour l’évaluation des risques et la mise en œuvre des contrôles de sécurité. 

Le cadre couvre des catégories de vulnérabilités telles que l’injection de commandes (MCP05), l’injection de contexte et le partage excessif (MCP10), les attaques de type « confused deputy », ainsi que les risques liés à la chaîne d’approvisionnement. Les équipes de sécurité utilisent ce cadre pour évaluer les déploiements MCP face aux schémas d’attaque documentés.

À quelle vitesse les organisations doivent-elles mettre en œuvre des contrôles de sécurité MCP ?

Les organisations doivent commencer par l’inventaire des déploiements MCP existants, la journalisation d’audit de base et la gestion des secrets sous 30 jours. Déployer une architecture de passerelle et des processus d’approbation sous 90 jours. Mettre en place des pipelines d’identification complets et des cadres de gouvernance sous 180 jours. 

Le premier package MCP malveillant est apparu en septembre 2025, confirmant que ces attaques sont actives. Cette approche progressive équilibre l’urgence de la sécurité avec les contraintes pratiques de mise en œuvre.