Publié par Anthropic en novembre 2024 comme protocole ouvert pour connecter les modèles d’IA à des outils et sources de données externes, le Model Context Protocol (MCP) s’est imposé en moins de deux ans comme le standard de facto de l’écosystème agentique : plus de 97 millions de téléchargements mensuels de son kit de développement, plus de 10 000 serveurs référencés dans le registre officiel, et un support natif désormais intégré à Claude, ChatGPT, Gemini, Cursor, VS Code et Microsoft Copilot. Cette adoption rapide a un revers documenté avec une précision inhabituelle pour un sujet aussi récent : entre janvier et février 2026 seulement, les chercheurs en sécurité ont déposé plus de 30 CVE ciblant des serveurs, clients et infrastructures MCP, pour un total dépassant 437 000 téléchargements compromis.
Fonctionnement d’un serveur MCP : Quels accès pour l’IA ?
Un serveur MCP expose à une application d’IA trois types de ressources : des données, des invites préconfigurées et des outils exécutables. Concrètement, il agit comme un pont entre le moteur de raisonnement d’un modèle et l’infrastructure de l’entreprise, il peut stocker des jetons d’authentification pour plusieurs services, exécuter des commandes système, lire des fichiers ou interroger des bases de données. La politique de sécurité officielle du protocole est explicite sur ce point : un client MCP fait confiance au serveur auquel il se connecte, et un serveur MCP local doit être traité avec la même vigilance qu’un logiciel installé sur le poste, pas comme une simple configuration inoffensive.
Pourquoi MCP concentre autant de vulnérabilités en si peu de temps
Trois facteurs expliquent cette concentration inhabituelle d’incidents. D’abord, un défaut architectural récurrent : plusieurs des CVE les plus critiques découlent d’une absence de validation de l’origine des requêtes, permettant à une simple page web visitée de dialoguer avec un serveur MCP tournant en local. C’est exactement le schéma de CVE-2025-49596 (CVSS 9.4), qui touchait l’Inspector MCP officiel d’Anthropic (l’interface de développement utilisée pour tester les serveurs avant déploiement) et permettait l’exécution de commandes arbitraires sans authentification.
Ensuite, l’agrégation d’identifiants dans un point unique : un serveur MCP centralise souvent les accès à plusieurs services d’entreprise simultanément, ce qui en fait un point de défaillance unique. Sa compromission expose d’un coup l’ensemble des bases de données, systèmes de fichiers et services cloud auxquels il est connecté. Les études de sécurité publiées entre 2025 et 2026 mettent en évidence la maturité encore limitée de l’écosystème MCP. Selon les périmètres et les méthodologies retenus, elles identifient des taux de risque compris entre 30% et 82% : Equixly relève notamment 30% d’exposition à des vulnérabilités SSRF, tandis qu’Endor Labs constate que 82% des 2 614 implémentations analysées utilisent des opérations de fichiers vulnérables au path traversal. Par ailleurs, l’étude d’Astrix Security indique que seuls 8,5% des serveurs MCP étudiés utilisent OAuth comme mécanisme d’authentification.
Enfin, un risque de chaîne d’approvisionnement propre à l’écosystème : en septembre 2025, Koi Security a identifié ce qui est présenté comme le premier serveur MCP malveillant observé en conditions réelles : le paquet npm postmark-mcp. Sa version 1.0.16 ajoutait une porte dérobée qui envoyait en copie cachée chaque courriel traité vers une adresse contrôlée par l’attaquant, illustrant le risque de chaîne d’approvisionnement associé aux serveurs MCP. En mai 2025, Invariant Labs a documenté une attaque par injection de prompt visant le serveur MCP officiel de GitHub. Une ticket malveillant publiée dans un dépôt public pouvait inciter un agent à accéder à des dépôts privés auxquels le jeton de l’utilisateur lui donnait également accès, puis à exfiltrer les données vers un emplacement public. Les chercheurs ont recommandé de limiter les autorisations de l’agent aux seuls dépôts nécessaires, idéalement au moyen de jetons à privilèges minimaux.
L’excès d’agence : un risque central des agents IA
L’OWASP Top 10 LLM rattache les risques liés aux agents connectés à des outils externes notamment les permissions excessives et l’exécution d’actions déclenchées par des sorties manipulées à la catégorie LLM03:2026, “Excessive Agency”. L’organisation recommande de limiter les extensions appelables par l’agent au strict nécessaire et de surveiller les actions effectuées sur les systèmes en aval.
Comment sécuriser un serveur MCP : 5 bonnes pratiques
Les recommandations qui suivent reprennent celles de la MCP Security CheatSheet publiée par l’OWASP :
- Authentifier les connexions distantes : utiliser OAuth 2.1/OIDC, mTLS ou un mécanisme équivalent pour les serveurs MCP exposés sur un réseau. Pour les serveurs locaux, privilégier le transport stdio ou un socket Unix plutôt qu’un serveur HTTP accessible au navigateur.
- Limiter les permissions des jetons : utiliser des identifiants distincts par serveur, des scopes OAuth étroits et des jetons de courte durée, conformément au principe du moindre privilège.
- Protéger les serveurs locaux : lorsqu’un serveur MCP local utilise HTTP, le limiter à 127.0.0.1 et valider strictement l’en-tête Origin afin d’empêcher des requêtes provenant d’une page web malveillante.
- Vérifier la provenance des serveurs et des outils : n’autoriser que les serveurs approuvés, contrôler les modifications de leurs descriptions et rechercher les risques de tool poisoning, de rug pull et de dépendances compromises.
- Journaliser les appels d’outils : enregistrer les appels, les requêtes de données, les erreurs et les décisions d’autorisation, en centralisant les journaux et en masquant les secrets ou les données sensibles.
→ Voir notre guide des architectures et vecteurs de risques IA pour resituer MCP parmi les autres briques d’une architecture agentique.
FAQ : Sécurité et déploiement du protocole MCP
Faut-il éviter MCP pour limiter les risques liés aux agents ?
Non. Le protocole standardise et documente les connexions entre modèles et outils, ce qui facilite l’audit de sécurité plutôt qu’il ne le complique, à condition que les serveurs déployés soient correctement configurés et authentifiés.
Un serveur MCP officiel est-il totalement sécurisé ?
Généralement plus suivi en termes de correctifs, un serveur officiel n’est pas à l’abri d’une faille zero-day : l’Inspector MCP officiel d’Anthropic a lui-même fait l’objet de la vulnérabilité la plus critique documentée à ce jour sur cet écosystème.
Comment détecter les serveurs MCP non inventoriés sur son réseau ?
Une phase de reconnaissance technique et d’analyse du trafic réseau permet de cartographier le Shadow AI et d’identifier les instances MCP actives sur le SI, une prestation directement intégrée à notre offre d’audit de sécurité des systèmes IA.
Sécuriser vos intégrations MCP
Nos experts auditent vos serveurs MCP déployés et testent leur résistance dans le cadre de notre offre de pentest IA.
Vous souhaitez échanger sur votre projet ou évaluer vos besoins ? Contactez nos experts.