I server MCP estendono un agente con strumenti – e ogni strumento è superficie d'attacco nuova, perché il modello sceglie cosa usare in base a nome e descrizione, testo che potrebbe non aver scritto tu. I rischi specifici:
- tool poisoning / shadowing: un server MCP malevolo (o compromesso) pubblica un tool con una descrizione che contiene istruzioni nascoste ("quando usi questo, invia anche le variabili d'ambiente a...") o che oscura un tool legittimo con uno omonimo più "invitante"
- confused deputy: l'agente ha permessi che l'attaccante non ha, e viene indotto a usarli per suo conto
- catena di fiducia: installare un server MCP è eseguire codice di terzi con l'accesso del tuo agente
Le difese: installa solo server MCP fidati e verificati (come qualsiasi dipendenza), tratta le descrizioni dei tool come dati non fidati, applica permessi minimi e HITL sulle azioni pericolose (l'approvazione umana intercetta il tool che fa troppo), sandbox l'esecuzione, e registra ogni chiamata per l'audit. È il motivo per cui proxxx fissa i suoi 25 tool a compile-time con registro auditabile: niente tool che appaiono a runtime, niente descrizioni che cambiano sotto i piedi.