Sicurezza Model Context Protocol (MCP): Guida Completa

I server MCP centralizzano le credenziali, creando punti singoli di vulnerabilità. Questa guida illustra in dettaglio la sicurezza per le integrazioni degli agenti AI contro attacchi di avvelenamento degli strumenti, injection e furto di credenziali.

Che cos'è la sicurezza MCP?

I server MCP aggregano le credenziali per molteplici servizi aziendali, creando un singolo punto di fallimento che espone l'intera organizzazione in caso di compromissione. Un singolo server MCP violato e distribuito senza controlli di autenticazione offre agli attaccanti l'accesso a ogni database, file system e servizio cloud integrato a cui il tuo assistente AI si connette. Questo schema di vulnerabilità ha permesso lo sfruttamento reale in CVE-2025-49596 (CVSS 9.4), dove gli attaccanti hanno eseguito comandi arbitrari tramite istanze MCP Inspector non autenticate.

Model Context Protocol (MCP) è uno standard aperto rilasciato da Anthropic alla fine del 2024 che collega assistenti AI a fonti dati e strumenti aziendali tramite un'architettura client-server. La sicurezza MCP comprende i controlli, le pratiche e i framework necessari per proteggere queste integrazioni dallo sfruttamento. Secondo la specifica ufficiale MCP, il protocollo "non applica esplicitamente la sicurezza a livello di protocollo", demandando completamente l'implementazione ai team di sicurezza.

Quando distribuisci un server MCP, crei un ponte tra i motori di ragionamento AI e l'infrastruttura aziendale. Quel server memorizza token OAuth per molteplici servizi, esegue comandi di sistema, legge file e interroga database. I team di sicurezza affrontano diverse categorie di vulnerabilità documentate, tra cui tre CVE critici tracciati dal National Vulnerability Database. Il primo pacchetto MCP malevolo è apparso a settembre 2025, operando inosservato per due settimane mentre esfiltrava dati email.

Questi rischi spiegano perché la sicurezza MCP si interseca con discipline di cybersecurity più ampie.

Come la sicurezza MCP si relaziona alla cybersecurity

La sicurezza MCP si interseca con gestione delle identità e degli accessi, sicurezza della supply chain e attacchi specifici all'AI che gli strumenti esistenti non sono stati progettati per fermare. L'architettura del protocollo crea tre confini di sicurezza: il livello di trasporto che gestisce la comunicazione tra client e server, il livello di protocollo che gestisce la messaggistica JSON-RPC 2.0 per la negoziazione del ciclo di vita e delle capacità, e il livello dati che definisce strumenti, risorse, prompt e notifiche a cui gli agenti accedono.

CISA ha pubblicato una guida congiunta il 22 maggio 2025, sottolineando che la sicurezza dei dati è essenziale per garantire l'affidabilità dei sistemi AI. Questo riconoscimento governativo segnala che l'infrastruttura degli agenti AI rientra nel panorama delle minacce che i team SOC devono monitorare. Il progetto OWASP MCP Top 10 ha stabilito il primo framework standard di settore per la classificazione dei rischi MCP, fornendo una metodologia strutturata di valutazione del rischio per i team di sicurezza che valutano l'integrazione AI.

La sicurezza perimetrale tradizionale fallisce contro gli attacchi MCP perché operano a livello semantico del linguaggio naturale. A differenza delle minacce basate su firme, gli attacchi MCP sfruttano il processo di ragionamento del modello AI tramite tecniche come l'avvelenamento degli strumenti e la prompt injection. Questi schemi bypassano completamente l'identificazione convenzionale, richiedendo analisi comportamentale e controlli di sicurezza contestuali.

Affrontare questi schemi di attacco richiede la comprensione dei componenti architetturali che proteggono le distribuzioni MCP.

Componenti principali della sicurezza MCP

L'architettura di sicurezza MCP deve affrontare controlli fondamentali che spaziano tra architettura, gestione degli accessi, identificazione e governance.

1. Livello di autenticazione e autorizzazione: I server MCP richiedono OAuth 2.1 con PKCE, scoping a livello di capacità e prevenzione dell'accesso a token con ambiti ampi tramite perdita di log o scraping della memoria.
2. Sicurezza del trasporto: Applicare TLS 1.2+ con suite di cifratura robuste, implementare mTLS per comunicazioni server-to-server e abilitare la protezione contro il DNS rebinding. Il MCP TypeScript SDK non abilita questa protezione di default secondo GitHub Security Advisory GHSA-w48q-cv73-mx4w.
3. Pipeline di validazione degli strumenti: I controlli di sicurezza devono validare tramite tre fasi: (1) filtraggio basato su pattern per comandi e prompt injection, (2) identificazione neurale per attacchi semantici nelle descrizioni degli strumenti, e (3) arbitrato basato su LLM per casi limite.
4. Gestione delle credenziali: I server MCP aggregano token OAuth per più servizi. Utilizzare vault aziendali come AWS Secrets Manager o HashiCorp Vault, implementare la rotazione automatica, usare token a breve durata e proteggere da perdita di log e scraping della memoria.
5. Infrastruttura di identificazione e monitoraggio: Registrare tutte le operazioni MCP inclusi invocazioni di strumenti con parametri, tentativi di autenticazione, accesso alle risorse e violazioni degli ambiti. Correlare gli eventi MCP con il comportamento delle identità e il traffico di rete nel proprio SIEM.

Questi componenti lavorano insieme in un flusso di esecuzione coordinato che elabora ogni richiesta MCP.

Come funziona la sicurezza MCP

La sicurezza MCP opera tramite controlli stratificati che proteggono ogni fase delle interazioni degli agenti AI con i sistemi aziendali.

• Architettura gateway centralizzata: Un gateway centralizzato applica policy coerenti, monitora il comportamento e applica barriere di sicurezza. Il gateway applica la allowlist dei server MCP approvati, centralizza il controllo degli accessi e l'identificazione, e ispeziona tutte le invocazioni degli strumenti. Questo impedisce ai server MCP non autorizzati di accedere alle risorse aziendali indipendentemente dalla configurazione degli ambienti locali degli sviluppatori.
• Fase di negoziazione delle capacità: Durante l'inizializzazione, il gateway ispeziona le capacità del server rispetto alle regole di policy, bloccando i server che richiedono permessi eccessivi. I controlli di accesso granulari mappano ruoli utente specifici a capacità di strumenti specifiche.
• Fase di esecuzione runtime: Quando gli agenti AI invocano strumenti MCP, il livello di sicurezza valida i parametri di input per attacchi di injection, isola l'esecuzione degli strumenti e registra il contesto forense completo.
• Identificazione continua: Le piattaforme di sicurezza analizzano il traffico MCP utilizzando una pipeline di identificazione multistadio che combina filtraggio basato su pattern, analisi tramite reti neurali e identificazione di anomalie comportamentali.
• Flusso di risposta agli incidenti: Quando le piattaforme di sicurezza identificano attività MCP malevole, le capacità di risposta autonoma isolano i server compromessi, revocano le credenziali associate su tutti i servizi integrati, annullano modifiche non autorizzate e ricostruiscono la timeline completa dell'attacco per l'investigazione.

Comprendere questo flusso operativo rivela perché la sicurezza MCP è importante per la gestione del rischio aziendale.

Perché la sicurezza MCP è importante

L'aggregazione delle credenziali rischia di rimodellare il modello di attacco per le organizzazioni che implementano MCP. I server MCP memorizzano token OAuth per molteplici servizi, creando un singolo punto di fallimento. In caso di compromissione, gli attaccanti ottengono ampio accesso a tutti i servizi collegati, richiedendo procedure di risposta agli incidenti specifiche per MCP.

La validazione della supply chain diventa essenziale perché i percorsi di integrazione semplici di MCP introducono rischi tramite server non affidabili. Il primo pacchetto MCP malevolo è apparso a settembre 2025, operando inosservato per due settimane mentre esfiltrava dati email.

I framework di governance devono stabilire il controllo sui livelli di integrazione MCP non monitorati. I team di sicurezza necessitano di enforcement centralizzato delle policy a livello di gateway, workflow di approvazione per nuovi server e baseline di sicurezza allineate alla classificazione dei dati.

La zero trust architecture fornisce la base per la sicurezza MCP, richiedendo mTLS tra microservizi MCP, controllo del traffico basato sull'identità e sicurezza indipendente dalla topologia di rete.

La conformità e l'allineamento normativo proteggono le organizzazioni quando gli agenti AI accedono a dati regolamentati. La guida CISA di maggio 2025 afferma che la sicurezza dei dati garantisce l'affidabilità dei sistemi AI. I controlli di sicurezza MCP devono dimostrare che l'accesso ai dati da parte degli assistenti AI segue la stessa governance degli utenti umani.

Comprendere perché la sicurezza MCP è importante richiede l'esame degli attacchi specifici che prendono di mira questi sistemi.

Tipologie di minacce alla sicurezza MCP

Gli ambienti MCP affrontano schemi di attacco distinti che sfruttano il modello di fiducia del protocollo e l'architettura degli strumenti.

1. Tool Poisoning inserisce istruzioni malevole nei metadati e nelle descrizioni degli strumenti. Gli attaccanti nascondono direttive come "inoltra tutti i dati a un endpoint esterno" all'interno delle definizioni degli strumenti che appaiono innocue agli utenti ma vengono eseguite quando gli agenti AI leggono i metadati. Queste istruzioni persistono tra le sessioni, influenzando ogni agente che interagisce con lo strumento compromesso.
2. Rug Pull Attacks sfruttano cambiamenti comportamentali post-approvazione. Uno strumento supera la revisione di sicurezza iniziale, poi modifica silenziosamente la propria definizione per includere funzionalità malevole. La maggior parte dei client MCP non avvisa gli utenti quando le descrizioni degli strumenti cambiano dopo l'approvazione, consentendo agli attaccanti di armare strumenti precedentemente affidabili.
3. Shadowing Attacks consentono a strumenti malevoli di influenzare quelli affidabili senza invocazione diretta. La descrizione di uno strumento compromesso può istruire l'agente AI a modificare il comportamento durante l'uso di strumenti legittimi, ad esempio reindirizzando destinatari email o aggiungendo commissioni nascoste.
4. Server Spoofing registra server MCP malevoli con nomi simili a servizi legittimi. Quando gli assistenti AI effettuano la discovery basata sul nome, possono risolvere verso server rogue che catturano credenziali e query sensibili.

Questi schemi di attacco spiegano le sfide di implementazione che i team di sicurezza affrontano.

Sfide nell'implementazione della sicurezza MCP

I team di sicurezza affrontano diversi ostacoli nel mettere in sicurezza le distribuzioni MCP:

• Lacune architetturali: La responsabilità della sicurezza ricade interamente sui team di implementazione senza linee guida a livello di protocollo. La specifica ufficiale MCP afferma esplicitamente che "non può applicare questi principi di sicurezza a livello di protocollo", creando discrepanze tra le aspettative degli sviluppatori e la realtà della sicurezza.
• Limitazioni di visibilità: Il monitoraggio tradizionale fatica con i pattern di messaggistica JSON-RPC 2.0 e le distribuzioni distribuite, richiedendo strumentazione personalizzata per tracciare l'attività dei server MCP.
• Proliferazione degli strumenti: Le organizzazioni distribuiscono server MCP tra i dipartimenti senza governance centralizzata. Senza un inventario centralizzato, i team di sicurezza non possono implementare controlli coerenti né tracciare quali server hanno accesso a credenziali sensibili.
• Schemi di attacco innovativi: Attacchi semantici come tool poisoning e shadowing bypassano completamente gli strumenti basati su firme, richiedendo modelli contestuali che comprendano la manipolazione del linguaggio naturale.
• Complessità della risposta agli incidenti: Una singola compromissione colpisce più servizi contemporaneamente. I playbook esistenti presuppongono il contenimento di un singolo servizio, ma gli incidenti MCP richiedono revoca coordinata delle credenziali su tutti i sistemi integrati e analisi forense che abbraccia identità, endpoint security e cloud security.

Queste sfide portano spesso a errori comuni di implementazione.

Errori comuni nella sicurezza MCP

Le valutazioni di sicurezza rivelano schemi ricorrenti in cui le organizzazioni non riescono a mettere in sicurezza le distribuzioni MCP in modo efficace.

• Distribuzione senza autenticazione: Le organizzazioni spesso distribuiscono server MCP accessibili tramite rete senza implementare meccanismi di autenticazione. Secondo le best practice di sicurezza MCP, eseguire server MCP senza autenticazione non è raccomandato. Gli attaccanti scoprono questi server esposti tramite port scanning, si connettono senza credenziali ed eseguono strumenti arbitrari con pieni privilegi.
• Poor sandbox implementation: Le analisi delle violazioni di sicurezza identificano l'insufficiente enforcement del contenimento delle directory come causa principale in incidenti documentati. I server MCP che eseguono operazioni sui file senza validazione dei percorsi consentono attacchi di path traversal, permettendo agli attaccanti di accedere a file di configurazione contenenti password di database, chiavi API e credenziali cloud.
• Installazione di server non affidabili: I team installano server MCP da fonti non affidabili senza revisione del codice o scansione di sicurezza. I ricercatori di sicurezza hanno documentato server MCP malevoli che apparivano come strumenti legittimi mentre implementavano il furto di credenziali. Le organizzazioni inoltre non monitorano i rug pull attack in cui strumenti precedentemente approvati cambiano comportamento dopo la distribuzione.
• Ambiti di autorizzazione eccessivi: La specifica di sicurezza MCP avverte che gli attaccanti ottengono token di accesso con ambiti ampi (come files:*, db:*, e admin:*) tramite perdita di log, scraping della memoria o intercettazione locale. I server MCP che richiedono tutti i permessi disponibili durante l'autorizzazione iniziale non implementano lo scoping dei permessi a livello di capacità.
• Monitoraggio insufficiente: La telemetria limitata dei sistemi Model Context Protocol rende difficile l'investigazione. I log di sicurezza che mancano di dettagli critici non possono ricostruire la timeline degli attacchi. Il monitoraggio deve includere la registrazione di tutte le operazioni, il tracciamento dei tentativi di autenticazione e garantire l'integrazione con il SIEM.

Evitare questi errori richiede l'adozione di framework di sicurezza consolidati.

Best practice per la sicurezza MCP

Distribuire un'architettura gateway MCP centralizzata come controllo architetturale fondamentale. Il gateway fa da proxy a tutta la comunicazione MCP, applicando la allowlist dei server MCP approvati, centralizzando il controllo degli accessi e l'identificazione, e ispezionando tutte le invocazioni degli strumenti. Questo schema architetturale fornisce il punto di controllo unico in cui le organizzazioni applicano le policy in modo coerente su tutti i workflow agentici.

Implementare il principio del minimo privilegio con gestione granulare degli ambiti a livello di capacità:

• Mappare i ruoli utente a capacità di strumenti specifiche
• Validare dinamicamente le richieste di ambito durante l'autorizzazione
• Utilizzare lo scoping dei permessi a livello di capacità invece di token con ambiti ampi
• Proteggere dal furto di token tramite perdita di log, scraping della memoria o intercettazione locale

Stabilire controlli di sicurezza della supply chain dei server MCP prima di qualsiasi distribuzione in produzione. Il processo di approvazione richiede test statici di sicurezza delle applicazioni e scansione delle vulnerabilità su tutti i server, verifica crittografica dell'integrità del server e scansione dei pacchetti per malware e istruzioni malevole nascoste. Fissare versioni specifiche dei server MCP e avvisare gli amministratori di eventuali modifiche.

Distribuire pipeline di identificazione multilivello progettate per il tool poisoning MCP e attacchi semantici. L'approccio di identificazione in tre fasi include filtraggio basato su pattern per command injection, identificazione neurale per attacchi semantici nelle descrizioni degli strumenti e arbitrato basato su LLM per casi limite in cui gli avversari manipolano i metadati degli strumenti per ingannare gli agenti AI.

Implementare audit logging integrato con piattaforme SIEM. L'infrastruttura di logging deve catturare ogni invocazione di strumenti con contesto completo. Monitorare pattern anomali inclusi sequenze di accesso agli strumenti insolite, tentativi di escalation dei privilegi e indicatori di esfiltrazione dati.

Proteggere la gestione di credenziali e segreti tramite vault aziendali. Integrare AWS Secrets Manager o HashiCorp Vault per proteggere chiavi API e credenziali OAuth. Implementare rotazione automatica e token a breve durata. Proteggere da perdita di log e scraping della memoria distribuendo un vault di token sicuro.

Applicare sicurezza del trasporto e controlli di rete. Richiedere TLS 1.2+ con suite di cifratura robuste, implementare mTLS per comunicazioni server-to-server e isolare i server MCP in segmenti di rete dedicati con regole firewall appropriate.

Stabilire framework di governance con enforcement autonomo delle policy. Le policy formali di utilizzo MCP sono allineate alla classificazione dei dati e agli standard di controllo degli accessi. L'enforcement autonomo delle policy a livello di gateway, i workflow di approvazione per nuove distribuzioni di server, le revisioni regolari dei pattern di accesso agli strumenti e i controlli di  data loss prevention prevengono l'esposizione di informazioni sensibili tramite integrazioni MCP.

Blocca gli attacchi MCP con SentinelOne

Purple AI rileva attività MCP sospette tramite investigazione in linguaggio naturale, correlando eventi MCP nel security data lake fino all'80% più velocemente rispetto ai metodi manuali. Interroga Purple AI: "Mostra tutte le invocazioni di strumenti dell'utente X nelle ultime 24 ore" oppure "Quali credenziali sono state esposte tramite questo server MCP?" La tecnologia Storyline di SentinelOne ricostruisce catene di attacco MCP complete, mostrando come i server compromessi accedono a più servizi ed eseguono strumenti non autorizzati. L'AI comportamentale di SentinelOne rileva minacce zero-day e schemi di attacco innovativi che operano a livello semantico, offrendo l'88% in meno di alert per eliminare l'alert fatigue che impedisce un monitoraggio MCP efficace.

MCP crea livelli non monitorati tra strumenti AI e dati aziendali. Affrontare questa sfida di governance richiede un'architettura di sicurezza defense-in-depth: gateway MCP centralizzato per enforcement delle policy, controlli di accesso a minimo privilegio, revisioni di sicurezza della supply chain e pipeline di identificazione multilivello. I team di sicurezza devono implementare lo scoping dei permessi a livello di capacità sugli strumenti, connessioni server MCP autenticate, audit log centralizzati e monitoraggio continuo del traffico agente-strumento.

Il  Singularity Data Lake di SentinelOne acquisisce e normalizza dati di sicurezza da fonti native e di terze parti utilizzando gli standard OCSF (Open Cybersecurity Schema Framework). I workflow di  threat hunting correlano eventi di sicurezza su più piattaforme per individuare attacchi sofisticati come furto di credenziali, tentativi di escalation dei privilegi e sequenze di accesso ai dati insolite tramite analisi dei pattern comportamentali e identificazione delle anomalie.

Richiedi una demo con SentinelOne per vedere come la sicurezza autonoma blocca gli attacchi MCP prima che l'aggregazione delle credenziali consenta una compromissione a livello aziendale.

Punti chiave

La sicurezza MCP rappresenta un punto di svolta critico per i team di sicurezza aziendali mentre gli assistenti AI ottengono accesso all'infrastruttura di produzione. L'architettura di aggregazione delle credenziali del protocollo crea punti di fallimento unici in cui un singolo server compromesso espone token OAuth su ogni servizio integrato. Le organizzazioni devono implementare controlli di defense-in-depth tra cui architettura gateway centralizzata, scoping dei permessi a livello di capacità, validazione della supply chain e pipeline di identificazione multilivello che combinano filtraggio basato su pattern con analisi comportamentale per fermare attacchi di tool poisoning e prompt injection.

I team di sicurezza dovrebbero dare priorità ad azioni immediate: inventariare le distribuzioni MCP esistenti, implementare connessioni server autenticate e stabilire audit logging entro 30 giorni. Distribuire architettura gateway e workflow di approvazione entro 90 giorni, quindi costruire framework completi di identificazione e governance entro 180 giorni. L'OWASP MCP Top 10 fornisce il framework standard di settore per la valutazione del rischio, mentre piattaforme come SentinelOne offrono l'AI comportamentale, la correlazione cross-platform e le capacità di investigazione in linguaggio naturale necessarie per individuare e bloccare gli attacchi MCP prima che il furto di credenziali consenta una compromissione a livello aziendale.

Domande frequenti

Che cos'è la sicurezza Model Context Protocol?

La sicurezza MCP si riferisce ai controlli, alle pratiche e ai framework che proteggono le integrazioni Model Context Protocol dallo sfruttamento. MCP collega gli assistenti AI alle fonti di dati aziendali tramite un'architettura client-server, creando confini di sicurezza a livello di trasporto, protocollo e dati. 

Poiché la specifica MCP non applica la sicurezza a livello di protocollo, le organizzazioni devono implementare controlli di autenticazione, autorizzazione, monitoraggio e governance per proteggersi dai rischi di aggregazione delle credenziali e dagli attacchi specifici per l'AI.

Qual è il rischio di sicurezza maggiore nelle implementazioni MCP?

L'aggregazione delle credenziali rappresenta la principale vulnerabilità. I server MCP memorizzano i token OAuth per più servizi integrati, creando un punto singolo di vulnerabilità. In caso di compromissione, gli attaccanti ottengono accesso a tutti i servizi collegati. 

In ambienti enterprise, la compromissione di un server MCP espone le risorse organizzative su più sistemi integrati, consentendo agli attaccanti l'accesso simultaneo a ogni servizio collegato autenticato dall'utente o dall'organizzazione.

Come funzionano gli attacchi di avvelenamento degli strumenti contro i server MCP?

L'avvelenamento degli strumenti manipola il comportamento degli agenti AI incorporando istruzioni nascoste nelle definizioni dei server e nelle descrizioni degli strumenti. Gli aggressori modificano i metadati per includere direttive dannose che i modelli AI interpretano come parametri legittimi. 

Questi attacchi semantici eludono gli strumenti di sicurezza basati su firme perché operano a livello di ragionamento in linguaggio naturale, richiedendo approcci di  sicurezza guidata dall'AI che analizzano i modelli comportamentali e il contesto semantico per identificare modifiche dannose agli strumenti.

Gli strumenti di sicurezza esistenti possono proteggere dalle vulnerabilità MCP?

Gli strumenti di sicurezza dedicati per MCP sono ancora in fase di maturazione. Le regole SIEM tradizionali e l'identificazione basata su firme non rilevano attacchi semantici e avvelenamento degli strumenti. Una sicurezza MCP efficace richiede una pipeline di identificazione in tre fasi: identificazione leggera basata su pattern per attacchi evidenti, identificazione neurale profonda per attacchi semantici complessi e arbitrato intelligente basato su LLM per casi limite. 

Le organizzazioni dovrebbero combinare l'analisi comportamentale e l'identificazione guidata dall'AI con la revisione manuale del codice fino a quando gli strumenti di sicurezza specializzati per MCP non saranno maturi.

Che cos'è il framework OWASP MCP Top 10?

Il  OWASP MCP Top 10 fornisce il primo sistema di classificazione standard del settore per i rischi di sicurezza del Model Context Protocol. Questo progetto ufficiale OWASP stabilisce framework standardizzati per la valutazione dei rischi e l'implementazione dei controlli di sicurezza. 

Il framework copre categorie di vulnerabilità tra cui command injection (MCP05), context injection e over-sharing (MCP10), confused deputy attacks e rischi della supply chain. I team di sicurezza utilizzano questo framework per valutare le implementazioni MCP rispetto ai modelli di attacco documentati.

Con quale rapidità le organizzazioni dovrebbero implementare i controlli di sicurezza MCP?

Le organizzazioni dovrebbero iniziare con l'inventario delle implementazioni MCP esistenti, il logging di audit di base e la gestione dei segreti entro 30 giorni. Implementare architettura gateway e processi di approvazione entro 90 giorni. Stabilire pipeline di identificazione complete e framework di governance entro 180 giorni. 

Il primo pacchetto MCP malevolo è apparso a settembre 2025, confermando che questi sono attacchi attivi. Questo approccio graduale bilancia l'urgenza della sicurezza con i vincoli pratici di implementazione.