Depuis qu'Anthropic a introduit MCP, plus de 10 000 serveurs publics ont été créés. Les téléchargements mensuels du SDK atteignent 97 millions. ChatGPT, Claude, Cursor et Copilot offrent un support complet.
Ensuite, les chercheurs en sécurité ont commencé à examiner l'intérieur de près.
Ce qu'ils ont trouvé n'est pas très agréable.
Empoisonnement d'outils (Tool Poisoning)
Il s'agit du type d'attaque MCP le plus courant actuellement.
La logique est simple : un serveur MCP expose un ensemble d'outils à un client IA, chaque outil ayant un nom et une description. Le modèle IA lit ces descriptions lorsqu'il est invoqué pour décider comment utiliser l'outil.
Et si cette description contenait des instructions malveillantes ?
Les attaquants peuvent intégrer des injections de prompt cachées dans les descriptions d'outils, amenant le modèle à exécuter discrètement des opérations supplémentaires tout en exécutant l'outil normal — comme fuiter des données utilisateur vers des adresses externes ou lire des fichiers non autorisés.
Les recherches d'Adversa AI confirment : presque tous les clients MCP majeurs, y compris Anthropic, OpenAI, Cursor et Zapier, sont affectés par ce type d'attaque.
Attaque par amplification de ressources (Resource Amplification)
Celle-ci est plus subtile.
Un serveur MCP malveillant peut manipuler l'agent IA pour qu'il entre dans une boucle d'appels d'outils — chaque appel d'outil déclenche le suivant, en couches imbriquées, mais difficile à détecter de l'extérieur.
Données expérimentales : cette attaque peut amplifier le coût de calcul réel d'une seule requête jusqu'à 658 fois la normale, sans déclencher les détections de sécurité standard.
Pour les utilisateurs facturés au token, cela signifie que la facture peut exploser sans qu'ils s'en rendent compte.
Exécution de code à distance (RCE)
La plus grave.
Les chercheurs ont découvert plusieurs vulnérabilités avec un score CVSS supérieur à 9,0, affectant des centaines de milliers d'installations MCP. En exploitant ces vulnérabilités, les attaquants peuvent exécuter du code arbitraire sur le système de la victime — soit un contrôle total.
Pourquoi les mesures de sécurité traditionnelles échouent
La racine du problème est : le routeur dans l'architecture MCP est le LLM lui-même.
Les pare-feu traditionnels et le RBAC (contrôle d'accès basé sur les rôles) sont des règles statiques qui vérifient les IP, les chemins et les tables d'autorisations. Mais l'appel d'outil du LLM est basé sur un jugement sémantique — on ne peut pas utiliser des règles statiques pour vérifier si un modèle a été convaincu de faire quelque chose qu'il ne devrait pas.
Le pare-feu ne reconnaît pas que cet appel d'outil est dû à une injection de prompt dans le modèle.
Que faire maintenant
La communauté de sécurité a déjà commencé à agir :
- Kit d'outils mcp-sec-audit : Analyse statique et dynamique, atteignant un taux de détection de 100 % sur le benchmark MCPTox
- Cadre SAFE-MCP : Standard de sécurité piloté par la communauté (The New Stack en a fait un reportage détaillé)
- Adversa AI publie mensuellement un résumé des ressources de sécurité MCP ; l'édition d'avril 2026 vient de sortir
Si vous avez intégré des serveurs MCP tiers dans un environnement de production, il est temps d'évaluer sérieusement :
- Ce serveur provient-il d'une source fiable ?
- Les descriptions d'outils contiennent-elles un contenu anormal ?
- Existe-t-il un mécanisme pour détecter une fréquence anormale d'appels d'outils ?
La vitesse d'adoption de MCP est bien supérieure à la vitesse de maturation des mécanismes de sécurité, et cet écart se transforme en un risque réel.
Sources de référence : MCP is Alive, but Faces Challenges (AI Business) ; Building With MCP? Mind the Security Gaps (The New Stack) ; CocoLoop, Top MCP security resources — April 2026 (Adversa AI) ; MCP Security: TOP 25 MCP Vulnerabilities (Adversa AI)