MCP стал новой поверхностью атаки: контроль серверов, skills и tool calls

⚡ Главное за 5 секунд - Infera Security опубликовала разбор MCP как новой поверхности атаки на рабочих станциях. - Тезис статьи: контролировать нужно не только промпты, но и MCP-серверы, skills и вызовы инструментов (tool calls). - Ключевое условие риска: ИИ-агент запускается с правами локального пользователя и получает доступ к почте, SharePoint, файлам и запуску команд. ### 🔍 Что обнаружено На Habr вышел разбор от Infera Security, в котором MCP (Model Context Protocol) рассматривается как новая поверхность атаки. Отправная точка — модель угроз для ИИ-агента, работающего прямо на рабочей станции: он запущен с правами локального пользователя и поэтому может читать почту, обращаться в SharePoint, работать с файлами, запускать команды и вызывать инструменты. По логике материала, защита, сосредоточенная только на промптах, оставляет эти каналы вне периметра контроля. Механика, на которую указывает автор: у агента есть не только текстовый ввод, но и набор подключённых MCP-серверов, skills и сами вызовы инструментов. Именно эти три уровня статья предлагает взять под контроль — то есть управлять тем, какие серверы подключены, какие навыки доступны агенту и какие tool calls он имеет право выполнять, а не ограничиваться фильтрацией входных промптов. ### 💡 Почему это важно Практическая проблема в том, что у агента с правами локального пользователя радиус поражения совпадает с правами самого сотрудника: почта, SharePoint, файлы и командная строка — всё в одной зоне доступа. Если защита строится вокруг одних промптов, а подключённые MCP-серверы, skills и вызовы инструментов остаются без контроля, поверхность атаки шире, чем принято считать. Разбор — это предложение пересобрать модель защиты под агентные сценарии, где решение о вызове инструмента нужно авторизовывать отдельно от текста запроса.