Model Bağlam Protokolü (MCP), bir dil modelini dosya sistemleri, veritabanları, API’ler ve iş uygulamaları gibi dış kaynaklara standart bir arayüz üzerinden bağlayan açık protokoldür. Modelin cevabı yalnızca eğitim verisinden değil, bir MCP sunucusunun sunduğu canlı araç ve verilerden gelmeye başladığı anda, o sunucuyla model arasındaki güven ilişkisi yeni bir saldırı yüzeyine dönüşür.

MCP güvenliği, bir modelin dış dünyaya uzanan her aracını ayrı bir yetki ve güven sınırı olarak ele alma disiplinidir.

Protokol Nasıl Çalışır?

Mimari üç parça üzerine kuruludur: modeli barındıran istemci (host), istemcinin konuştuğu MCP sunucusu ve sunucunun eriştiği gerçek kaynak. Sunucu, hangi araçları sunduğunu ve her aracın ne yaptığını doğal dille tanımlayan bir manifest yayınlar. Model bu tanımları okuyup uygun aracı seçer, parametreleri doldurur ve çağırır. Sorun tam da burada başlar: model, araç açıklamasındaki metni bir komut gibi yorumlayabildiği için, o açıklamayı kim yazdıysa modelin davranışına dolaylı olarak müdahale edebilir.

Başlıca Risk Yolları

En sinsi tehdit, araç zehirlenmesidir. Kötü niyetli bir sunucu, ismen zararsız görünen bir aracın açıklamasına gizli talimatlar yerleştirir; model bu talimatı görevin parçası sanıp kullanıcının haberi olmadan başka bir aracı tetikler. Bu, klasik prompt injection saldırısının araç katmanına taşınmış halidir. İkinci sorun aşırı yetkilendirmedir: tek bir dosya okuması için bağlanan sunucuya tüm dizine yazma izni verilmesi, küçük bir açığı büyük bir sızıntıya çevirir. Üçüncüsü kimlik bilgisi sızıntısıdır; sunucuların arka planda taşıdığı API anahtarları ve oturum jetonları, model çıktısına ya da loglara düşerse yetkisiz erişime kapı açar.

• Araç zehirlenmesi: araç açıklamasına gömülü gizli talimatlarla modelin yönlendirilmesi
• Aşırı yetki: bir sunucuya gereğinden fazla okuma/yazma/çalıştırma hakkı tanınması
• Kimlik bilgisi sızıntısı: sunucudaki anahtar ve jetonların çıktı veya günlüklere düşmesi
• Kaynak zinciri riski: doğrulanmamış üçüncü taraf sunucularının kuruma dahil edilmesi

Güvenli Kullanım İlkeleri

Savunmanın ilk adımı, her sunucuyu ayrı bir güven sınırı kabul edip en az yetki ilkesiyle kısıtlamaktır. Yalnızca imzalı ve kaynağı doğrulanmış sunucular çalıştırılmalı, araç çağrıları arasında hangi verinin nereye aktığı loglanmalıdır. Yıkıcı sonuç doğurabilecek eylemler (dosya silme, para transferi, dışa e-posta) için modelin kararı yeterli sayılmamalı, kullanıcı onayı zorunlu tutulmalıdır. MCP güvenliği bu yönüyle daha geniş bir çerçevenin, eylem alabilen sistemleri kapsayan Yapay zeka ajanlarının güvenliği alanının bir parçasıdır.

Kurumsal Etki

Bir kurumun iç veritabanına, kod deposuna veya müşteri kayıtlarına MCP üzerinden bağlanan bir asistan, doğru yapılandırıldığında büyük verim sağlar; yanlış yapılandırıldığında ise tek bir zehirli araç açıklaması kurumsal veriyi dışarı taşıyabilir. Bu nedenle MCP entegrasyonları, üretime alınmadan önce genel Yapay zeka güvenliği gözden geçirmesinden geçirilmeli ve gerçek saldırgan bakışıyla test edilmelidir. Privia’nın red team hizmeti, modelin bağlandığı araç ve sunucuları hedef alarak zehirlenme ve yetki aşımı senaryolarını gerçek koşullarda ortaya çıkarır.