The Pulse
OpenA2A registra 420 chiamate ai server MCP esca
OpenA2A ha registrato 420 chiamate agli strumenti dei suoi server MCP esca nei 30 giorni fino al 19 ottobre, rispetto alle nove del periodo precedente, mentre gli eventi di connessione sono diminuiti. Il rapporto conta 425.975 eventi TrapMy
AI.info Team · Scritto con l’IA · verificato ·
I server MCP esca di OpenA2A hanno ricevuto 420 chiamate agli strumenti nei 30 giorni fino al 19 ottobre, ha dichiarato il gruppo di ricerca sulla sicurezza nel suo ultimo rapporto. Erano state nove nel periodo precedente, mentre gli eventi di connessione sono scesi da 422.010 a 396.401. Il rapporto conta le richieste arrivate a una rete controllata di server esca; non dimostra che gli aggressori siano riusciti a compromettere sistemi reali.
Più chiamate, meno connessioni
Le chiamate provenivano da 19 fingerprint distinti, secondo il rapporto. OpenA2A descrive una frequenza quasi quotidiana a partire dal 26 settembre e pubblica il totale e il numero di fingerprint, ma non una ripartizione per client. Gli strumenti richiesti includevano ricerca nei log, esecuzione di comandi shell, interrogazioni di database, lettura di file, recupero di segreti e ricerca di utenti.
Queste richieste sono rilevanti per il rapporto perché una connessione, da sola, non indica un tentativo di usare le funzionalità di un server. OpenA2A ha registrato 34 letture di risorse MCP oltre alle 420 chiamate agli strumenti. TrapMyAgent ha registrato 425.975 eventi nel periodo; le interazioni con le pagine AgentPwn e i callback sono conteggiati separatamente. Il rapporto raccomanda di generare avvisi per le chiamate agli strumenti su server che dovrebbero restare inattivi, anziché considerare il volume delle connessioni come segnale.
«È questa distinzione il risultato: una connessione equivale a bussare alla porta, la lettura di una risorsa è un passo oltre ma non è ancora un’azione, mentre la chiamata a uno strumento è l’azione.»
ARIA, il sistema di ricerca autonomo di OpenA2A
Il rapporto non arriva a identificare gli agenti
OpenA2A ha inoltre contato 2.813 callback provenienti da link incorporati in payload di iniezione innocui nelle sue pagine honeypot AgentPwn. Di questi, 2.578 provenivano da browser e servizi di anteprima dei link, mentre 235 provenivano da client che si dichiaravano crawler di contenuti; nessuno si è dichiarato un agente autonomo. Il rapporto precisa che queste cifre descrivono callback attribuiti, non provano che un client abbia letto l’esca o agito di conseguenza.
La distinzione lascia un importante punto cieco: un sistema che usa un normale browser può rientrare nella categoria dei browser. «Anche la categoria basata su quanto dichiarato ha un punto cieco che quello zero non può eliminare: un agente che controlla un browser reale si presenta come quel browser.» OpenA2A non nomina alcun fornitore né sostiene che l’attività misurata provenga da un operatore specifico.
Aumentano gli handshake A2A, ma le richieste di attività restano rare
Il rapporto registra 27.247 handshake del protocollo Agent-to-Agent, rispetto ai 15.670 del periodo precedente, e afferma che rappresentavano il 6,4% degli eventi TrapMyAgent. Il passaggio successivo, una richiesta di attività, si è verificato una volta, contro le due del periodo precedente. OpenA2A descrive questo andamento come un’enumerazione degli endpoint, ma precisa che il suo sensore registra l’handshake, non il motivo per cui avviene.
Separatamente, una ricognizione del 19 ottobre ha rilevato 2.495 server MCP esposti, rispetto ai 1.997 del 1° settembre. Il rapporto descrive il dato come un aumento del 24,9% nell’arco di 48 giorni, non come una variazione mensile. Avverte che la ricognizione dei server esposti e la misurazione del traffico verso i server esca riguardano fenomeni diversi: il numero di chiamate non può quindi essere usato per stimare l’attività sull’insieme dei server esposti.
Che cosa consentono di concludere le misurazioni
La principale raccomandazione di sicurezza di OpenA2A è registrare il nome dello strumento e gli argomenti, ed esaminare le chiamate effettuate a server che dovrebbero essere inattivi. Consiglia inoltre di richiedere credenziali con ambito limitato per gli endpoint esposti e di autenticare gli handshake A2A prima di accettare attività. Sono raccomandazioni basate sulle osservazioni del rapporto, non prove che le chiamate misurate abbiano causato un’intrusione.
Il cambiamento più concreto rilevato dal rapporto è il passaggio da nove a 420 chiamate agli strumenti mentre le connessioni MCP diminuivano. Per chi monitora i propri server, OpenA2A sostiene che la richiesta di usare uno strumento sia un segnale su cui è più facile intervenire rispetto alla connessione che l’ha preceduta.