Ars Technica upozorňuje na riziká „protocol pivoting“ v MCP workflowoch

MCP protocol pivoting je označenie, ktoré Ars Technica použil v analýze výskumu o prenose škodlivých inštrukcií medzi AI agentmi a protokolmi. Problémom nie je jedna univerzálna zraniteľnosť štandardu Model Context Protocol (MCP), ale opakujúce sa chyby pri implementácii hraníc dôvery: nedôveryhodný vstup môže agent preposlať do ďalšieho systému, ktorý ho následne spracuje s vlastnými oprávneniami.

Takýto reťazec môže viesť napríklad k SSRF alebo nepriamej prompt injection. Riziko sa týka najmä organizácií, ktoré agentom sprístupňujú interné siete, API, databázy alebo nástroje schopné vykonávať zápisy a ďalšie citlivé operácie.

MCP protocol pivoting a hranice dôvery

MCP je otvorený štandard určený predovšetkým na pripájanie AI aplikácií k externým dátam, nástrojom a workflowom. Nie je sám osebe všeobecným protokolom na komunikáciu agent-agent. Práve prepojenie viacerých komponentov však môže vytvoriť cestu, po ktorej sa obsah z nedôveryhodného zdroja zmení na požiadavku vykonanú s oprávneniami agenta alebo nástroja.

Ars Technica tento vzorec označuje ako „protocol pivoting“. Ide o prenos škodlivých inštrukcií naprieč komponentmi, ktoré majú odlišné predpoklady o dôveryhodnosti vstupov. Iný bezpečnostný výskumník citovaný portálom však toto označenie považuje skôr za podtriedu nepriamej prompt injection než za samostatnú ustálenú kategóriu zraniteľností.

NSA už v máji 2026 upozornila, že nasadenia MCP vyžadujú opatrnú implementáciu pre riziká spojené s hranicami dôvery, zneužitím agentov a dynamickým volaním nástrojov. Podobne aj dokumentácia Google Cloud uvádza prompt injection a nebezpečné reťazenie nástrojov medzi rizikami autonómnych agentov využívajúcich MCP.

Potvrdená chyba v Bulk Export MCP je opravená

Konkrétny potvrdený prípad eviduje Rapid7 ako CVE-2026-97228. Zraniteľnosť sa týka Bulk Export MCP vo verziách 0.2.5 až 0.6.1 a spočíva v GraphQL injection. Oprava je dostupná vo verzii 0.6.2.

Rapid7 hodnotí chybu skóre CVSS 2.7. Podľa Rapid7 zraniteľnosť neumožňuje prekročiť už existujúce oprávnenia operátora. Tento prípad preto netreba zamieňať s dôkazom plošného kompromisu MCP prostredí ani s potvrdením aktívneho zneužívania v reálnych útokoch.

Reportáž Ars Technica spomína ďalšie prípady v rôznych organizáciách vrátane Google a JPMorgan Chase. Pre všetky tieto prípady však nebolo v dostupných materiáloch samostatné prvostranné potvrdenie. Zatiaľ preto nemožno tvrdiť, že identický problém bol nezávisle potvrdený a opravený presne v piatich organizáciách.

Čo majú správcovia MCP nasadení kontrolovať

Google Cloud odporúča princíp najmenších oprávnení, izoláciu a filtrovanie vstupov aj výstupov. V praxi je dôležité nepovažovať dáta prenesené cez agentový reťazec automaticky za dôveryhodné len preto, že prišli od iného interného komponentu.

• Aktualizovať Bulk Export MCP aspoň na verziu 0.6.2, ak je nasadený.
• Validovať cieľové URL a IP adresy pri nástrojoch, ktoré pristupujú k sieťovým zdrojom.
• Blokovať nežiaduce presmerovania a obmedziť prístup agentov k interným adresám.
• Používať oddelené identity a oprávnenia pre jednotlivých agentov a nástroje.
• Vyžadovať explicitné schválenie pred rizikovými akciami, najmä pred zápisom, exportom alebo sieťovým volaním.

Ďalší vývoj ukáže, či sa objavia prvostranné advisories k ďalším prípadom spomenutým v reportáži, najmä k Google MCP Toolbox for Databases. Dôležité bude aj to, či dodávatelia, prípadne CISA, potvrdia reálne zneužitie a či implementácie MCP zavedú lepší prenos identity, autorizácie a pôvodu dát medzi komponentmi.

Overené a aktualizované: 06. 10. 2026 06:27