Cloudflare rozpoznáva MCP prevádzku a odhaľuje neautorizované cesty AI agentov

Cloudflare rozšíril platformu Cloudflare One o detekciu prevádzky protokolu Model Context Protocol (MCP). Bezpečnostné tímy majú v Gateway vidieť, ktorí používatelia komunikujú s MCP servermi, a na spravovaných sieťových trasách môžu obmedziť priame spojenia, ktoré obchádzajú schválený MCP Server Portal. Nejde iba o ďalší filter domén. Cloudflare sa pokúša rozpoznať samotný protokol v kontrolovanej HTTP prevádzke a spojiť sieťovú viditeľnosť s identitou používateľa. Oproti pôvodnému oznámeniu je dôležité doplniť, že takáto kontrola pokrýva iba časť bezpečnostného reťazca a nedokazuje dôveryhodnosť servera, nástroja ani jeho výstupu.

MCP je otvorený štandard, cez ktorý AI aplikácie objavujú zdroje a volajú externé nástroje. Komunikácia používa JSON-RPC a môže viesť k operáciám od vyhľadania dokumentu až po zápis do databázy či nasadenie kódu. Riziko preto nevzniká iba pri úniku textu z promptu. Agent môže konať s oprávneniami prihláseného človeka, opakovať chybnú operáciu vysokou rýchlosťou alebo odoslať citlivé argumenty serveru, ktorý organizácia nikdy neposúdila. OWASP medzi relevantné problémy zaraďuje nesprávu tokenov, rozširovanie oprávnení, otrávené nástroje, nedostatočnú telemetriu aj takzvané shadow MCP servery.

Čo dokáže sieťová detekcia vidieť

Vzdialené MCP volanie je na sieti HTTP transakciou s JSON-RPC správou. Novšia verzia protokolu môže poskytovať signály ako MCP-Protocol-Version, Mcp-Method a Mcp-Name; metóda a názov nástroja sa môžu objaviť aj v tele požiadavky. Cloudflare uvádza, že Gateway kombinuje protokolové znaky s heuristikami nad hostiteľom, cestou a obsahom komunikácie. To je podstatné, pretože MCP nemá povinnú doménu ani jednotnú cestu typu /mcp. Bežný zoznam blokovaných alebo povolených domén preto nemusí odlíšiť volanie agenta od iného API spojenia na rovnaký server.

Argumenty nástroja sú často citlivejšie než jeho názov. Volanie môže niesť zdrojový kód, zákaznícke údaje, interný vyhľadávací dopyt alebo parametre zmeny infraštruktúry. Inšpekcia môže pred vykonaním odhaliť niektoré zakázané spojenia a záznamy môžu pomôcť pri vyšetrovaní. Má to však podmienku: organizácia musí prevádzku viesť cez spravovanú trasu a pri šifrovanom HTTPS zabezpečiť zodpovedajúcu kontrolu. Bez nej sieťová vrstva typicky vidí cieľ spojenia, nie celý význam volania. Heuristická klasifikácia navyše môže neštandardnú implementáciu prehliadnuť alebo nesprávne označiť.

Sieťová kontrola vôbec neuvidí lokálny MCP server komunikujúci s klientom cez štandardný vstup a výstup. Nepokryje ani zariadenie mimo spravovanej firemnej trasy. To je významná hranica, pretože práve lokálne doplnky môžu spúšťať procesy, čítať súbory alebo používať uložené prihlasovacie údaje. Cloudflare preto opisuje tri kontrolné body: klienta pred odoslaním požiadavky, sieťovú hranicu a server tesne pred vykonaním nástroja. Každý vidí inú časť kontextu a žiadny sám osebe neposkytuje úplnú ochranu.

Portál rieši cestu, nie dôveryhodnosť nástroja

MCP Server Portal má fungovať ako spravovaný vstup k schváleným serverom. Organizácia môže najprv pozorovať používané spojenia, zostaviť inventár a vybrané servery zaradiť do portálu. Následne môže Gateway povoliť prístup cez portál a zablokovať priame spojenia k tým istým cieľom. Tým sa oddeľujú dva problémy: neznámy server a obídenie schválenej cesty k známemu serveru. Druhý prípad je ľahké prehliadnuť, pretože cieľová služba môže byť legitímna, no priame spojenie vynechá centrálne pravidlá, identitu alebo audit.

Samotné zaradenie servera do portálu však neznamená, že všetky jeho nástroje sú rovnako bezpečné. Operácia na čítanie dokumentácie má iný rizikový profil než mazanie účtov alebo nasadenie do produkcie. Špecifikácia MCP výslovne upozorňuje, že protokol umožňuje prístup k ľubovoľným dátam a cestám spúšťania kódu, pričom bezpečnostné princípy nevie vynútiť na protokolovej úrovni. Implementátori majú preto riešiť súhlas, autorizáciu, ochranu dát a opatrné zaobchádzanie s nástrojmi. Aj popis správania nástroja sa má považovať za nedôveryhodný, ak nepochádza z dôveryhodného servera.

Doplňujúce bezpečnostné odporúčania MCP zakazujú jednoduché preposielanie tokenov určených iným službám a zdôrazňujú kontrolu ich publika. Odporúčajú tiež postupné prideľovanie čo najužších oprávnení namiesto širokých rozsahov ako admin:*. To je prakticky dôležitejšie než samotná viditeľnosť: ak ukradnutý token umožňuje iba čítanie jedného typu údajov, následky sú menšie než pri univerzálnom prístupe. Portál a sieťový log preto musia dopĺňať krátkodobé poverenia, serverová autorizácia každej operácie a oddelenie čítacích a zapisovacích nástrojov.

Ako postupovať bez ochromenia vývoja

Prvým rozumným krokom je pasívny inventár, nie okamžité plošné blokovanie. Bezpečnostný tím by mal zistiť, aké klienty, vzdialené aj lokálne servery a používateľské identity sú v organizácii aktívne. Pri každom serveri treba evidovať vlastníka, pôvod implementácie, dostupné nástroje, požadované oprávnenia, typy prenášaných dát a spôsob aktualizácie. Neznámy server potom nie je iba doména v logu, ale položka, ktorú možno posúdiť a buď schváliť, izolovať, alebo odstrániť.

Druhým krokom je rozdeliť nástroje podľa následkov. Čítacie operácie môžu mať užšie povolenia a jednoduchší schvaľovací proces, zatiaľ čo zápis do produkčných systémov by mal vyžadovať dodatočné potvrdenie, krátku platnosť oprávnenia alebo oddelenú identitu. Logovať treba používateľa, klienta, server, názov nástroja, výsledok autorizácie a čas volania; citlivé argumenty nemožno bezhlavo ukladať do telemetrie. Inak ochranný systém vytvorí nový archív tajomstiev, osobných údajov a zdrojového kódu.

Tretím krokom je testovať obchádzanie kontrol. Organizácia má overiť, čo sa stane pri priamej IP adrese, alternatívnej doméne, nestandardnej ceste, staršej verzii protokolu, presmerovaní alebo lokálnom serveri. Potrebné je tiež skúšať kompromitovaný nástroj a škodlivý obsah v jeho odpovedi. Cloudflare zatiaľ neposkytol nezávislé merania presnosti detekcie, mieru falošných poplachov ani výsledky proti zámerne maskovanej prevádzke. Produktové tvrdenia preto treba overiť v konkrétnej podnikovej sieti, nie považovať za univerzálnu garanciu.

Slovenské a európske súvislosti

Pre slovenské firmy je MCP bezpečnosť pokračovaním existujúcich povinností v oblasti riadenia prístupov, dodávateľských rizík a incidentov, nie oddelenou kategóriou len pre AI tím. Smernica NIS2 vyžaduje od dotknutých organizácií primerané technické, prevádzkové a organizačné opatrenia vrátane riešenia incidentov, bezpečnosti dodávateľského reťazca, riadenia prístupov a posudzovania účinnosti opatrení. Ak agent cez MCP zasahuje do dôležitého systému, jeho server, klient, tokeny a auditná stopa by mali vstúpiť do rovnakého procesu evidencie aktív a rizík ako bežná integrácia API.

Sieťová detekcia môže slovenským bezpečnostným tímom pomôcť objaviť používanie, o ktorom doteraz nevedeli, no nenahrádza posúdenie ochrany osobných údajov ani kontrolu cezhraničného prenosu dát. Argument volania môže obsahovať osobné alebo obchodne citlivé informácie a vzdialený server ich môže ďalej spracúvať mimo pôvodného účelu. Pred nasadením preto treba určiť, ktoré dátové triedy smú agenti odosielať, kde sa spracúvajú, ako dlho zostávajú v logoch a kto má právo spätne prezerať ich obsah.

Otvorenou otázkou zostáva interoperabilita medzi klientskymi, sieťovými a serverovými kontrolami. MCP sa rýchlo mení a nové hlavičky uľahčujú klasifikáciu, ale staršie klienty či vlastné implementácie môžu poskytovať menej signálov. Cloudflare oznámil aj smerovanie k jemnejšiemu riadeniu jednotlivých nástrojov, no praktická dostupnosť a rozsah funkcií sa môžu líšiť podľa produktu a konfigurácie. Najbezpečnejší záver preto nie je, že MCP je po zapnutí Gateway vyriešený, ale že organizácia konečne získava jednu z vrstiev potrebných na jeho merateľné a vynútiteľné riadenie.