#post #agents #security

Доверенный MCP ≠ доверенные данные
В серии уже были вредоносный сервер, который подменил описание после проверки, и честный пакет с бэкдором в шестнадцатой версии. История с GitHub MCP неприятнее обеих: здесь никто ничего не сломал. Сервер официальный, протокол соблюдён, токен выдан самим пользователем. Достаточно открыть issue в публичном репозитории с инструкцией для модели, и агент пойдёт в приватные репозитории тем же токеном. Демонстрацию собрали Invariant Labs (https://invariantlabs.ai/blog/mcp-github-vulnerability).

Опасен не сервер, а набор
Я подключаю агенту MCP по принципу «что пригодится»: репозитории, почта, таск-трекер, база. Каждый сервер по отдельности выглядит нормально, и я честно смотрю, что он умеет.

Но правильный вопрос звучит иначе. Не «можно ли доверять этому серверу», а «что агент сможет сделать, если его убедят». Ответ зависит уже не от сервера, а от того, что накопилось в наборе.

Почему эта атака не чинится патчем, что добавили в официальный сервер с тех пор и как рвать связку — на карточках.