Екосистемот на MCP растеше брзо — безбедноста не
Model Context Protocol беше лансиран кон крајот на 2024 година. За помалку од 18 месеци стана стандардниот начин за поврзување на AI алатки со надворешни системи. До март 2026 година, екосистемот покрива конектори за бази на податоци, датотечни сервери, GitHub мостови, Slack клиенти, алатки за е-пошта и стотици домен-специфични сервери.
Кривата на раст е стрмна. Безбедносната слика не е.
Од март 2026 година, 8.000+ MCP сервери седат на јавниот интернет. Истражувачите пронашле 492 со нула автентикација — без API клуч, без OAuth, без IP филтер. Секој HTTP клиент може да ги повика. 36,7% од земените примери на сервери се отворени за SSRF (Server-Side Request Forgery). Тоа значи дека напаѓач кој го контролира влезот на алатката може да достигне ресурси на внатрешната мрежа.
Во истиот период, 30+ CVE-ови беа поднесени во 60 дена. Тој темп покажува колку нов е екосистемот и колку истражувачко внимание добива.
Зошто протоколот создава ризик за лични податоци
MCP им дава на AI асистентите моќ да дејствуваат на податоци. Тоа е исто така зошто е ризик за PII.
Кога програмер користи Cursor или Claude Desktop со конектор за база на податоци, AI пишува SQL од обичен текст. Тие упити враќаат вистински редови — имиња, е-адреси, платежни податоци или друго PII. Тие податоци се движат низ ланец:
- Сервер на база → прозорец на контекст на AI асистентот
- Прозорец на контекст → системи за логирање на провајдерот на модели
- Историја на разговор → локална машина на програмерот
- Сесии за дебагирање → други AI алатки кога програмерот го залепува контекстот
Ниту еден од овие чекори не е пробив. Вака системот работи. Но PII завршува на повеќе места кои не се изградени да го чуваат, честопати без шифрирање меѓу серверот и AI клиентот.
CVE-2026-25253 (CVSS 8,8), објавен во февруари 2026 година, покажа еден пат на напад. Злонамерен endpoint може да инјектира скриени инструкции во своите одговори. Тие инструкции му кажале на поврзаниот AI да повлекува податоци од други активни алатки. Програмер кој користи лош community endpoint до сопствениот конектор за база на податоци може да ја протекне целата база.
492-те сервери со нула-автентикација
492-те отворени сервери се различен проблем од CVE-2026-25253. Тие не беа хакирани. Беа погрешно поставени.
Повеќето беа наменети да работат локално. Некој ги изложи преку препраќање на порти или cloud deploy без контроли за пристап.
Она што овие сервери честопати изложуваат:
- Алатки за датотечен систем со пристап за читање до домашни папки
- Конектори за бази на податоци со живи акредитиви во конфигурацијата
- Алатки за е-пошта поврзани со вистински сандачиња
- Алатки за извршување код — произволен код, без автентикација, без ограничувања
Програмерите речиси сигурно не сакале да ги изложат. Но Cursor и Claude Desktop се поврзуваат на кое bilo URL во конфигурацијата. Нема вградена проверка дали хостот е локален или јавен.
Решението на anonym.legal MCP
Структурниот поправок за PII ризик во pipeline-ови на алатки е да се анонимизираат податоците пред да стигнат до кој bilo повик кој ги испраќа до LLM. Тоа е она што го обезбедува anonym.legal MCP серверот.
Изложува 7 алатки:
| Алатка | Намена |
|---|---|
| `analyze_text` | Откривање PII ентитети и враќање на нивните позиции и типови |
| `anonymize_text` | Отстранување или псевдонимизација на откриените PII |
| `deanonymize_text` | Враќање на псевдонимизацијата со вашиот клуч за шифрирање |
| `anonymize_batch` | Обработка на повеќе текстови во еден повик |
| `get_supported_entities` | Листа на сите 273 типови ентитети за даден јазик |
| `get_supported_languages` | Листа на сите 48 поддржани јазика |
| `health_check` | Верификација на поврзаноста |
Кога AI асистентот ги има и anonym.legal серверот и конекторот за база на податоци конфигурирани, програмерот може да упати: "Пред да прикажеш какви bilo податоци за клиенти, повикај `anonymize_text` на резултатот." AI се грижи за оркестрацијата. PII никогаш не стигнува до видливиот излез или историјата на разговорот во идентификувачка форма.
Поставување на Cursor IDE
За да го додадете anonym.legal серверот на Cursor:
```json // .cursor/mcp.json { "mcpServers": { "anonym-legal": { "url": "https://anonym.legal/mcp", "headers": { "Authorization": "Bearer YOUR_API_KEY" } } } } ```
Откако ќе биде конфигуриран, прашајте го Cursor: "Анализирај го ова барање за поддршка за PII пред да го залепам во системот за следење." Cursor го повикува `analyze_text`, ја враќа листата на ентитети и вие одлучувате дали да анонимизирате пред залепување.
Поставување на Claude Desktop
```json // claude_desktop_config.json { "mcpServers": { "anonym-legal": { "command": "npx", "args": ["-y", "@anonym-legal/mcp-server"], "env": { "ANONYM_API_KEY": "YOUR_API_KEY" } } } } ```
Со оваа конфигурација, Claude Desktop може да анонимизира каков bilo текст пред да го вклучи во повиците на алатки испратени до други сервери. Анонимизацијата работи на API на anonym.legal хостиран во ЕУ. PII никогаш не стигнува до серверите на Anthropic во идентификувачка форма.
Зацврстување на вашата поставка
Надвор од користењето на anonym.legal, применете ги овие чекори. Видете исто така нашиот преглед на безбедност и центар за усогласеност.
Ревидирајте ја вашата листа на алатки. Проверете го секој внос во вашата конфигурација. За секој прашајте: дали го доверувате операторот? Дали знаете до кои податоци може да достигне?
Претпочитајте локалноот наспроти далечинскиот. Локалните сервери работат преку stdio. Тие не создаваат мрежна изложеност. Користете далечински сервери само кога не постои локална опција.
Проверете ја автентикацијата. Секој далечински сервер треба да бара API клуч или OAuth токен. Ако не бара, не го користете со вистински кориснички податоци.
Одделете го развојот од производството. Чувајте одделни конфигурации за развојна работа (тест податоци, без PII) и секој тек кој допира вистински корисници.
Овозможете ревизиско логирање. Ако поддржува логови, вклучете ги. Знајте кои податоци поминале низ секој повик.
Видете ја нашата страница за MCP функции за целосна листа на типови ентитети и јазици.
30+ CVE-ови во 60 дена покажуваат дека протоколот е под активно истражување. Нови грешки ќе се појават. Но основната одбрана — анонимизирајте пред податоците да стигнат до кој bilo LLM повик — работи против кој bilo специфичен CVE кој следи.
Конфигурирајте го anonym.legal серверот во Cursor →
anonym.legal ја врши анонимизацијата на лични податоци на серверот со вашиот клуч за шифрирање. Псевдонимизираните податоци може да се вратат само со тој клуч. Објавено од anonym.legal — хостирано на инфраструктурата на Hetzner сертифицирана според ISO 27001.
Извори
- Shodan MCP сервер податоци за изложеност, март 2026 — 8.000+ сервери, 492 нула-автентикација
- CVE-2026-25253, CVSS 8,8, инјекција меѓу сервери преку Model Context Protocol
- SSRF податоци: безбедносно истражувачко скенирање на јавно достапни endpoints, март 2026
- Anthropic MCP спецификација v1.2, дел за безбедносни размислувања