Sejak Anthropic memperkenalkan MCP, sudah ada lebih dari 10.000 server publik. SDK diunduh 97 juta kali per bulan. ChatGPT, Claude, Cursor, dan Copilot semuanya mendukungnya.
Kemudian peneliti keamanan mulai memeriksanya secara saksama.
Apa yang mereka temukan tidak mengenakkan.
Tool Poisoning (Peracunan Alat)
Ini adalah jenis serangan MCP yang paling umum saat ini.
Logikanya sederhana: server MCP mengekspos sekumpulan alat ke klien AI, masing-masing dengan nama dan deskripsi. Saat model AI memutuskan untuk memanggil alat, ia membaca deskripsi ini untuk menentukan cara menggunakannya.
Bagaimana jika deskripsi itu menyembunyikan instruksi berbahaya?
Penyerang dapat menyematkan injeksi perintah tersembunyi dalam deskripsi alat, menyebabkan model menjalankan operasi tambahan secara diam-diam saat menjalankan alat normal — seperti membocorkan data pengguna ke alamat eksternal atau membaca file yang tidak seharusnya diakses.
Penelitian dari Adversa AI mengonfirmasi bahwa hampir semua klien MCP utama, termasuk Anthropic, OpenAI, Cursor, dan Zapier, terpengaruh oleh serangan jenis ini.
Resource Amplification (Pembesaran Sumber Daya)
Yang ini lebih licik.
Server MCP berbahaya dapat menjebak agen AI ke dalam lingkaran pemanggilan alat — setiap panggilan alat memicu panggilan berikutnya, bertumpuk berlapis-lapis, tanpa terlihat dari luar.
Data eksperimental menunjukkan serangan ini dapat memperbesar biaya komputasi aktual dari satu kueri hingga 658 kali lipat dari level normal tanpa memicu deteksi keamanan standar.
Bagi pengguna yang ditagih per token, ini berarti tagihan bisa melonjak tanpa sepengetahuan mereka.
Remote Code Execution (RCE)
Yang paling parah.
Peneliti menemukan beberapa kerentanan dengan skor CVSS di atas 9,0, yang memengaruhi ratusan ribu instalasi MCP. Eksploitasi celah ini memungkinkan penyerang menjalankan kode arbitrer pada sistem korban — mendapatkan kendali penuh.
Mengapa Langkah Keamanan Tradisional Gagal
Akar masalahnya: router dalam arsitektur MCP adalah LLM itu sendiri.
Firewall tradisional dan RBAC (kontrol akses berbasis peran) mengandalkan aturan statis — memeriksa IP, jalur, dan tabel izin. Namun pemanggilan alat LLM didasarkan pada penilaian semantik. Anda tidak dapat menggunakan aturan statis untuk memeriksa apakah sebuah model telah dibujuk melakukan sesuatu yang seharusnya tidak dilakukan.
Firewall tidak mengenali bahwa panggilan alat terjadi karena model disuntik dengan perintah.
Apa yang Bisa Dilakukan Sekarang
Komunitas keamanan sudah mulai bergerak:
- mcp-sec-audit toolkit: analisis statis dan dinamis, mencapai deteksi 100% pada tolok ukur MCPTox
- SAFE-MCP framework: standar keamanan yang dipimpin komunitas (diliput secara rinci oleh The New Stack)
- Adversa AI menerbitkan ringkasan sumber daya keamanan MCP bulanan; edisi April 2026 baru saja dirilis
Jika Anda telah mengintegrasikan server MCP pihak ketiga ke dalam produksi, sekarang saatnya untuk evaluasi serius:
- Apakah server itu berasal dari sumber tepercaya?
- Apakah ada anomali dalam deskripsi alat?
- Apakah ada mekanisme untuk mendeteksi frekuensi panggilan alat yang tidak normal?
Kecepatan adopsi MCP jauh melampaui kematangan mekanisme keamanan, dan kesenjangan ini berubah menjadi risiko nyata.
Sumber referensi: MCP is Alive, but Faces Challenges (AI Business); Building With MCP? Mind the Security Gaps (The New Stack); CocoLoop, Top MCP security resources — April 2026 (Adversa AI); MCP Security: TOP 25 MCP Vulnerabilities (Adversa AI)