Scanner de sécurité MCP

Ce que vérifie ce scanner de sécurité MCP

Collez ci-dessus une URL Model Context Protocol : le scanner effectue un seul handshake MCP, lit tout ce que le serveur annonce, et lui attribue une note de A à F. Aucun outil n'est jamais appelé. L'ensemble du rapport est construit à partir de ce que le serveur livre pendant le même échange que celui de n'importe quel client MCP à la connexion.

Le tool poisoning, ou pourquoi les descriptions sont une surface d'attaque

La description d'un outil n'est pas une documentation destinée à un humain. Elle est transmise telle quelle au modèle et lue comme une instruction. C'est donc un point d'injection : un texte comme « ignore les instructions précédentes », « ne le dis pas à l'utilisateur » ou une demande de lire ~/.ssh peut y être glissé, et l'agent y obéira sans que la personne voie jamais ce texte. Cette classe d'attaque est appelée tool poisoning et elle est propre à MCP : l'analyse de sécurité applicative classique ne la couvre pas.

Le scanner confronte chaque nom d'outil, chaque description et chaque description de schéma d'entrée aux formes que prend cette attaque, et indique l'outil concerné.

Le reste du rapport

• Transport — un endpoint servi en HTTP clair expose toutes les requêtes, y compris le jeton bearer envoyé par un agent. Cela seul plafonne la note.
• Authentification — si la liste complète des outils peut être énumérée sans aucun identifiant. Acceptable pour un serveur réellement public et en lecture seule ; grave si les outils écrivent des données, engagent des dépenses ou atteignent des systèmes internes.
• Paramètres dangereux — les outils qui acceptent une command libre, une chaîne sql brute ou un path non contraint. Chacun est un chemin entre « l'agent a été convaincu » et « quelque chose s'est exécuté sur l'hôte ».
• Opérations destructrices — MCP n'a aucune étape de confirmation intégrée : savoir si un humain valide une suppression dépend entièrement du client.
• Hygiène des schémas — un outil sans propriétés déclarées accepte ce que le modèle invente, et un outil sans description exploitable est appelé au jugé.

Ce qu'une note A signifie, et ce qu'elle ne signifie pas

Elle signifie que rien n'est visiblement anormal de l'extérieur. Puisque aucun outil n'est invoqué, le scanner ne peut pas dire si un outil valide ses entrées, applique des autorisations, ou fait bien ce que sa description annonce une fois appelé. Considérez la note comme un premier passage peu coûteux qui attrape tôt les erreurs propres à MCP — pas comme un audit, et pas comme quelque chose à publier en tant que tel. C'est précisément pour cela que les limites figurent sur chaque résultat.

Outils et guides associés

• MCP Inspector — lire les schémas complets sur lesquels la note repose.
• Testeur de serveur MCP — vérifier que le serveur se connecte et termine correctement le handshake.
• Sécuriser un serveur MCP — le guide complet derrière ces vérifications.
• Qu'est-ce que le Model Context Protocol ?

Si vous publiez un serveur MCP, attendez-vous à être scanné

Quiconque évalue votre serveur lancera ce genre d'analyse avant d'y connecter un agent, et un mur de schémas JSON ne lui donne aucune raison de vous faire confiance. MCP Showcase transforme le même endpoint en playground en direct avec une documentation par outil : ce que fait votre serveur devient évident au premier coup d'œil, au lieu d'être quelque chose qu'un prospect doit reconstituer.