MCP-servers kunnen bedrijfsgeheimen onthullen via configuratiebestanden in leesbare tekst, toegang met te veel machtigingen en snelle injectie, vaak voordat beveiligingsteams zelfs maar weten dat de server actief is. Naarmate meer organisaties AI-agents in hun systemen adopteren, kan deze blootstelling stilletjes een groot gat in de MCP-serverbeveiliging worden. Met het Model Context Protocol (MCP) kunnen AI-agenten de tools en gegevens bereiken, inclusief interne documentatie en cloudinfrastructuur, die de basis vormen van bedrijfssystemen. Achter dat gemak bevat de MCP-server die deze tools en gegevens met bedrijfssystemen verbindt doorgaans de sleutels tot alles wat ermee in aanraking komt: inloggegevens, serviceaccountsleutels, API-tokens en andere geheimen. Elke organisatie zou zich nu moeten afvragen welke geheimen ze aan AI overhandigen en hoe goed die geheimen worden beschermd zodra ze een MCP-server bereiken.
Wat is Model Context Protocol (MCP)?
Model Context Protocol (MCP) is een open standaard, oorspronkelijk geïntroduceerd door Anthropic, waarmee AI-assistenten verbinding kunnen maken met externe tools en gegevens. In plaats van beperkt te zijn tot de bestaande kennis van een model, kan een AI-agent MCP gebruiken om live systemen te bereiken, een record uit een database te halen, een bestand te openen of een API aan te roepen. Wat dit doet werken is de MCP-server: een klein programma dat zich tussen de AI en het systeem bevindt dat het wil gebruiken, waardoor de specifieke acties zichtbaar worden die de AI-agent mag uitvoeren. Omdat de MCP-server als tussenpersoon fungeert, ligt hier het grootste risico, omdat een MCP-server, om op een systeem te kunnen ingrijpen, de inloggegevens van dat systeem nodig heeft.
Agenten produceren niet langer alleen maar antwoorden; ze ondernemen actie door gevoelige gegevens op te halen en te beslissen welke tools ze moeten aanroepen met behulp van niet-menselijke identiteiten (NHI’s), zoals API-sleutels en tokens. Omdat MCP AI-agenten omzet in actieve identiteiten die op bedrijfssystemen actief zijn, legt een gelekt geheim niet alleen gegevens bloot; het geeft een aanvaller ook de mogelijkheid om erop te reageren.
Manieren waarop MCP-servers geheimen kunnen onthullen
Het gemak van MCP heeft een addertje onder het gras: dezelfde server waarmee een AI-agent zinvol werk kan doen, is ook een hub voor inloggegevens. Omdat MCP innovatief is en snel evolueert, worden veel servers gebouwd en ingezet zonder de beveiligingsmaatregelen die je mag verwachten voor iets met productiesleutels. Hier volgen enkele van de meest voorkomende manieren waarop geheimen op MCP-servers terecht kunnen komen.
Inloggegevens in platte tekst in configuratiebestanden
MCP-servers slaan routinematig de tokens en sleutels op die ze nodig hebben in lokale configuratiebestanden en vaak in platte tekst. In veel opstellingen betekent het draaien van een server het plakken van een configuratiereeks die de inloggegevens zelf bevat. Als dat bestand op een schijf blijft staan, is de kans groot dat het over het hoofd wordt gezien, tussen machines wordt gekopieerd of per ongeluk in een Git-repository wordt opgeslagen. Zodra een aanvaller die server bereikt, is alles wat erop staat leesbaar.
De verspreiding van inloggegevens over niet-beheerde servers
Zonder een centrale locatie om geheimen op te slaan, beheert elke AI-agent uiteindelijk zijn eigen geheimen. Dezelfde inloggegevens (inclusief API-sleutels en tokens) raken verspreid over configuratiebestanden en omgevingsvariabelen, en dubbele kopieën stapelen zich op tijdens de ontwikkeling, fasering en productie. Omdat niemand een volledige inventaris van deze geheimen heeft, worden ze zelden gerouleerd, waardoor ze voor onbepaalde tijd geldig en statisch blijven. Elk verspreid, langlevend geheim kan door een aanvaller worden gestolen, waardoor een nieuw potentieel toegangspunt voor een inbreuk ontstaat.
Snelle injectie
Niet bij elk lek is het nodig dat een aanvaller inbreekt. Omdat AI-agenten het materiaal dat ze ontvangen lezen en ernaar handelen, kan een aanvaller instructies verbergen in een document, ondersteuningsticket of webpagina waartoe de agent toegang heeft. Als gevolg hiervan kan de agent deze verborgen aanwijzingen volgen en deze behandelen als legitieme opdrachten in wat wordt aangeduid als snelle injectie. Agenten kunnen ertoe worden verleid hun gereedschap te misbruiken of de geheimen over te dragen die ze moesten beschermen.
Overmatige toestemming
Om te voorkomen dat ze tijdens het bouwen tegen autorisatiefouten aanlopen, verlenen ontwikkelaars vaak brede rechten aan een MCP-server en gaan ze verder. Deze genereuze scopes hebben echter de neiging om naar productie te worden verzonden als ze worden vergeten. Als de minste privileges niet worden afgedwongen, kan een AI-agent veel verder reiken dan wat nodig is voor zijn taak, wat betekent dat elk compromis veel meer blootlegt dan zou moeten.
Risico op blootgestelde server
Iedereen kan een MCP-server publiceren, wat een supply chain-probleem is dat nog moet gebeuren. Verbinding maken met een niet-vertrouwde kan zich tegen u keren, zoals CVE-2025-6514 heeft aangetoond. In mcp-remote (een OAuth-proxy die meer dan 400.000 keer is gedownload en die op de clientcomputer draait) kan een kwaadwillende server OS-opdrachtinjectie activeren, wat leidt tot het op afstand uitvoeren van code op de machine waarop de proxy draait en aanvallers toegang geeft om de inloggegevens te stelen.
Hoe bedrijfsgeheimen op MCP-servers te beveiligen
MCP verandert waar geheimen leven en wie ze bereikt, maar de maatregelen om ze te beschermen moeten opzettelijk worden toegepast op deze nieuwe AI-laag. Hier volgen enkele best practices die de blootstellingspaden tegengaan:
- Stop met het hardcoderen van geheimen en centraliseer ze. Het ophalen van inloggegevens uit configuratiebestanden, omgevingsvariabelen en broncode en deze in één beheerde opslagplaats plaatsen is de oplossing voor zowel de verspreiding van platte tekst als de verspreiding van inloggegevens. In plaats van dat geheimen zich verspreiden over servers, halen AI-agenten tijdens runtime op uit één beheerde bron wat ze nodig hebben.
- Gebruik inloggegevens met een korte levensduur en roteer deze automatisch. Statische, langlevende geheimen zijn waardevol voor aanvallers omdat ze niet veranderen. Door deze te vervangen door inloggegevens die op verzoek worden uitgegeven en vanzelf verlopen, wordt de kans voor aanvallers om deze te misbruiken geminimaliseerd, en geautomatiseerde rotatie betekent dat een gelekt geheim nutteloos is zodra het aan het licht komt.
- Dwing de minste privileges af. Geef elke AI-agent alleen toegang tot de systemen en gegevens die voor zijn taak nodig zijn, zodat één gecompromitteerde agent slechts een fractie blootlegt van wat een agent met te veel toestemming zou doen.
- Houd een mens op de hoogte van gevoelige acties. Het ophalen van een ontmaskerd geheim, het verwijderen van een record of het bereiken van de productie zou een expliciete bevestiging vereisen. Dat controlepunt zorgt er doorgaans voor dat een snelle injectiepoging niet stilletjes uitmondt in een ernstige inbreuk.
- Versleutel geheimen met een zero-trust, zero-knowledge-model. Geheimen moeten end-to-end gecodeerd zijn, alleen opgehaald worden op het moment van gebruik en nooit leesbaar zijn door het platform dat ze opslaat. Een zero-knowledge-aanpak betekent dat zelfs een gecompromitteerde kluis niets oplevert dat een aanvaller kan lezen.
- Registreer en controleer alles wat de agent doet. Autonome agenten handelen snel en zonder direct toezicht. Een volledig overzicht van waar toegang tot is verkregen en wanneer is dus essentieel voor compliance en voor het achteraf diagnosticeren van een incident.
- Inventariseer uw MCP-servers. Wat je niet kunt zien, kun je niet beschermen. Door inzicht te houden in elke MCP-server die in uw omgeving draait, wordt schaduw-AI geëlimineerd: onbeheerde, vergeten identiteiten die stilletjes live inloggegevens bewaren en nooit in een beveiligingsbeoordeling verschijnen.
Heroverweeg geheimenbeheer voor AI-agenten
MCP heeft stilletjes een nieuwe laag aan de onderneming toegevoegd: een laag die zich bevindt tussen AI-agenten en bijna elk systeem dat de moeite waard is om te beschermen, en een laag die over de inloggegevens beschikt om hen te bereiken. Organisaties moeten dezelfde nauwkeurigheid toepassen als elk ander productiesysteem dat geheimen bevat, wat betekent dat het centraliseren van de inloggegevens en het controleren van wat elke agent kan bereiken essentieel zijn. Tools die hiervoor zijn gebouwd, zoals Keeper Secrets Manager, maskeren standaard geheimen en vereisen bevestiging voordat enige waarde wordt onthuld, zodat AI-agenten inloggegevens kunnen gebruiken zonder deze zichtbaar te laten, waardoor organisaties de MCP-laag kunnen beveiligen.
Opmerking: Dit artikel is zorgvuldig geschreven en bijgedragen voor ons publiek door Ashley D’Andrea, Content Writer bij Keeper Security.
