Se nell’ultimo anno qualcuno del tuo team ha collegato un assistente IA a qualcosa di reale, è probabile che da qualche parte nella tua infrastruttura giri un server MCP. Magari l’ha messo su in un pomeriggio chi aveva bisogno che l’assistente arrivasse a un database. E probabilmente gira ancora.
Quel server tiene credenziali. Un’analisi dei rischi pubblicata il 17 agosto 2026 descrive cosa succede quando nessuno lo tratta per quello che è diventato: un confine di sicurezza.
Cos’è esattamente quel server
Il Model Context Protocol è uno standard aperto, presentato in origine da Anthropic, che permette agli assistenti IA di collegarsi a strumenti e dati esterni. Invece di limitarsi a ciò che il modello già sa, un agente può recuperare un record, aprire un file o chiamare un’API.
Il pezzo che rende possibile tutto questo è il server MCP: un programma piccolo, collocato tra l’assistente e il sistema a cui vuole arrivare, che espone le azioni precise che l’agente ha il permesso di eseguire.
Ed è lì che il rischio si concentra. Per agire su un sistema, il server ha bisogno delle credenziali di quel sistema. Nelle parole dell’analisi, il server «tiene di solito le chiavi di tutto ciò che tocca: credenziali, chiavi di account di servizio, token di API e altri segreti».
Lo spostamento che conta: gli agenti non producono più solo risposte, agiscono. Un segreto uscito da un server MCP dà più che dati. Dà a un attaccante la capacità di agire su di essi.
Cinque modi in cui i segreti escono
Credenziali in chiaro nei file di configurazione. Mettere in funzione un server spesso significa incollare una stringa di configurazione che contiene le credenziali stesse. Quel file resta su disco, viene copiato tra macchine e ogni tanto finisce in un repository.
Credenziali sparse su server senza governo. Senza un posto centrale dove tenere i segreti, ogni agente gestisce i propri. Le stesse chiavi si distribuiscono tra file di configurazione e variabili d’ambiente, duplicate tra sviluppo, collaudo e produzione. Siccome nessuno ha l’inventario completo, vengono ruotate di rado e restano valide a tempo indeterminato.
Prompt injection. Gli agenti leggono il materiale che ricevono e ci agiscono sopra, il che rende ogni testo che elaborano un possibile canale di istruzioni.
Permessi troppo ampi. Un server messo su in fretta di solito riceve accesso ampio, perché restringerlo costa tempo e rompe cose durante l’installazione.
Server esposti. L’analisi nota che questa esposizione nasce spesso prima che i team di sicurezza sappiano che il server esiste.
L’esempio con un nome vale la pena ricordarlo: mcp-remote, descritto nell’analisi come «un proxy OAuth scaricato oltre 400.000 volte che gira sulla macchina client», attraverso il quale «un server malevolo potrebbe innescare un’iniezione di comandi di sistema». È il CVE-2025-6514.
Cos’è quel numero e cosa non è
Quattrocentomila è un conteggio di download di un singolo strumento proxy. Non è un conteggio di installazioni vulnerabili, e l’analisi non ne fornisce nessuno.
La distinzione pesa più di quanto sembri, perché il dato dei download è il più facile da afferrare di tutta la storia e il meno informativo. Nessuno ha pubblicato quanti server MCP siano esposti. Se quel numero ti capita sotto gli occhi, chiedi da dove viene.
Le cinque contromisure, come sono scritte
L’analisi ne elenca cinque, e si leggono come una lista di controllo più che come una strategia:
- «Smettere di incorporare i segreti nel codice e centralizzarli»
- «Usare credenziali di breve durata e ruotarle automaticamente»
- «Applicare il privilegio minimo»
- «Tenere una persona nel circuito per le azioni sensibili»
- «Cifrare i segreti con un modello a fiducia zero e conoscenza zero»
Niente di tutto questo è pensiero nuovo in sicurezza. È proprio il punto. Sono le pratiche già standard per le credenziali di produzione, applicate a una classe di server che spesso è stata messa su fuori dal processo che le avrebbe imposte.
La domanda scomoda del lunedì
Chi gestisce strumenti per agenti può percorrere quella lista in un pomeriggio. Il valore sta nell’inventario.
Comincia dalla domanda che l’analisi suggerisce senza formularla: qualcuno ha un elenco di quali server MCP sono in funzione, di chi li ha messi su e fin dove arriva ciascuno? In molte organizzazioni quell’elenco non esiste, perché ogni server è stato aggiunto per risolvere il problema di una persona, e nessuna di quelle aggiunte sembrava infrastruttura al momento.
La seconda domanda esce dalla prima. Per ogni server dell’elenco, cosa potrebbe fare un attaccante con quello che tiene, oltre a leggerlo? Un agente con permesso di scrittura su un sistema di ticket, su una catena di rilascio o su un database clienti è un’esposizione diversa da uno che si limita a recuperare documenti.
La terza riguarda il materiale che leggono i tuoi agenti. La prompt injection funziona perché gli agenti agiscono sul testo che ricevono, il che mette ogni documento, pagina e messaggio che un agente elabora dentro la superficie di attacco. La maggior parte delle organizzazioni pubblica e assorbe grandi quantità di testo senza chiedersi mai cosa ne farebbe un lettore automatico.
Nessuna di queste domande richiede un team di sicurezza. Richiedono che qualcuno scriva l’elenco.
Fonti
- The Hacker News, «How MCP Servers Can Expose Enterprise Secrets», 17 agosto 2026: https://thehackernews.com/2026/08/how-mcp-servers-can-expose-enterprise.html (consultato il 26 agosto 2026). Origine delle cinque categorie di esposizione, delle cinque contromisure, della descrizione dell’MCP e del ruolo del server, e dell’esempio mcp-remote con il dato dei download e il CVE-2025-6514. L’analisi esiste solo in inglese: le citazioni di questo articolo sono traduzione propria dall’originale, non citazioni letterali in italiano.
