The Pulse
Mohiuddin individua falle di sicurezza legate a MCP in cinque organizzazioni
Il ricercatore indipendente Syed Anas Mohiuddin afferma che i team di sicurezza di Google, JPMorgan Chase, Weaviate, della DINUM francese e della città indonesiana di Tangerang hanno corretto falle di tipo server-side request forgery legate
AI.info Team · Scritto con l’IA ·
«Entrambi derivano dalla stessa supposizione. Lo sviluppatore considera attendibili i dati che attraversano il confine MCP, in entrambe le direzioni, perché provengono dall’interno del sistema.»
Syed Anas Mohiuddin, ricercatore indipendente di sicurezza
In un aggiornamento pubblicato a ottobre, il ricercatore indipendente di sicurezza Syed Anas Mohiuddin afferma che cinque organizzazioni hanno confermato e corretto falle di tipo server-side request forgery (SSRF) in server Model Context Protocol (MCP). Le organizzazioni sono Google, JPMorgan Chase, Weaviate, la direzione interministeriale francese per il digitale e l’amministrazione di Tangerang City, in Indonesia. Il suo resoconto descrive un problema ricorrente nelle implementazioni: gli input dei server MCP che possono influenzare le richieste o altre azioni non vengono sempre verificati come dati non attendibili.
Le scoperte aiutano a contestualizzare un articolo di Ars Technica pubblicato il 5 ottobre 2026 sul passaggio di istruzioni malevole tra agenti. Mohiuddin chiama questo tipo di attacco tra protocolli «protocol pivoting»: un aggressore inserisce un’istruzione in una parte del sistema, poi sfrutta la fiducia tra agenti o protocolli per raggiungere funzionalità disponibili altrove. Il suo resoconto presenta le falle confermate nei server come prova di un rischio più ampio, non come dimostrazione che tutte le organizzazioni elencate abbiano subito lo stesso attacco di prompt injection.
Cinque correzioni di falle SSRF confermate e segnalazioni separate ancora aperte
Una falla SSRF si verifica quando un server invia una richiesta di rete a una destinazione scelta o influenzata da un input che non ha validato. In un flusso di lavoro degli agenti, quell’input può arrivare sotto forma di argomento di uno strumento, selezionato dopo che l’agente ha letto contenuti esterni. Se il server accetta un URL, un endpoint o un percorso fornito senza verificare la destinazione, la richiesta può partire dall’interno del perimetro di rete del server.
Secondo Mohiuddin, MCP Toolbox for Databases di Google poteva seguire un reindirizzamento verso un endpoint interno perché il suo client HTTP non prevedeva controlli sui reindirizzamenti e non validava gli indirizzi IP di destinazione. Stando al suo resoconto, Google ha assegnato al problema l’identificativo CVE-2026-14540, con un punteggio CVSS di 8,0. Descrive una correzione che verifica gli indirizzi ottenuti dalla risoluzione e applica liste di intervalli IP consentiti e bloccati.
Il server di JPMorgan Chase per la ricerca nella documentazione permetteva a uno strumento di recuperare contenuti da URL senza restrizioni, mentre il modulo Google di Weaviate accettava valori configurabili per gli endpoint. Mohiuddin descrive inoltre una falla SSRF nel server MCP ufficiale francese per i dati aperti e un’altra in un server MCP Wazuh gestito da Tangerang City. Afferma che ciascuna organizzazione ha confermato e corretto la falla segnalata.
Questi casi sono diversi da CVE-2026-97228 di Rapid7, che riguardava l’inserimento non sicuro di un identificativo di esportazione in una query GraphQL. Rapid7 le assegna un punteggio di 2,7 e afferma che la versione 0.6.2 corregge il problema usando una query parametrizzata. Mohiuddin la considera un’ulteriore prova di una validazione insufficiente nell’attraversamento di un confine MCP, ma non è uno dei cinque casi SSRF.
Cosa dimostrano, e cosa no, le scoperte
Mohiuddin elenca cinque segnalazioni relative a server MCP di enti federali statunitensi ancora in fase di valutazione, non come casi confermati. Secondo il suo resoconto, riguardano un problema distinto: dati delle risposte delle API a monte scritti nei log senza oscuramento. Precisa inoltre di non presentare quelle segnalazioni come casi risolti o verificati.
Il ricercatore di sicurezza Markus Vervier, citato da Ars Technica, contesta la necessità di considerare il «protocol pivoting» una categoria di attacco distinta e lo descrive invece come prompt injection indiretta. La terminologia cambia, ma il problema pratico è lo stesso: un agente a valle può agire in base a istruzioni trasmesse da un sistema di cui si fida, mentre un server vulnerabile offre accesso a risorse di rete o ad altre funzionalità.
La fiducia va verificata a ogni passaggio
Il resoconto di Mohiuddin mette in luce uno scarto tra la delega agli agenti e i controlli di sicurezza tradizionalmente applicati ai singoli servizi. Un agente a valle può considerare legittima una richiesta proveniente da un agente a monte; un server MCP può quindi agire sull’input dello strumento che ne deriva, usando il proprio accesso alla rete. Verificare soltanto il prompt iniziale del modello o esaminare le dipendenze software può non rilevare una gestione non sicura in quei punti di passaggio.
Le prove più solide nell’aggiornamento sono circoscritte: cinque organizzazioni hanno confermato e corretto falle SSRF, Rapid7 ha pubblicato una vulnerabilità distinta di bassa gravità e cinque segnalazioni relative a enti federali statunitensi erano ancora in esame. Questi elementi giustificano un’attenta verifica di come i server MCP validano gli input e limitano le richieste in uscita. Non dimostrano che ogni catena di agenti sia vulnerabile né che le segnalazioni federali ancora aperte siano state confermate.