MCP Güvenliği: Güven Sınırları, Confused Deputy ve Spesin Görmediği Riskler
MCP protokolünün güven sınırları, stdio sunucu riskleri, OAuth 2.1/PKCE/CIMD ilerlemeleri ve confused deputy saldırı sınıfı mühendisler için özetlendi.
Model Context Protocol'ün yetkilendirme spesifikasyonu teknik olarak sağlam, ama gerçek dünyadaki uygulamalar öyle değil: herkese açık MCP sunucularının yalnızca %8,5'i OAuth kullanıyor, dörtte biri hiçbir kimlik doğrulama yapmıyor, yarısından fazlası statik anahtarlara güveniyor. Daha kritik sorun ise kavramsal: MCP'de gerçek güvenlik riski dört farklı güven sınırında yaşanıyor (kullanıcı-model, model-istemci, istemci-sunucu, sunucu-dış sistem), ama spesifikasyon bunlardan sadece istemci-sunucu hattını düzenliyor. Diğer üçünde model, doğası gereği güvenilmeyen bir aktör olarak davranıyor ve protokol ona anahtarları teslim ediyor.
Yerel stdio sunucuları özellikle tehlikeli: kullanıcının tam oturum yetkisini devralıyor, dosya sistemine, komutlara ve ağa erişebiliyor, hiçbir sandbox veya izin katmanı olmadan. CVE-2025-49596 (CVSS 9.4) gibi kritik açıklar ve elli üzerinde belgelenmiş MCP güvenlik zafiyeti bu riskin teorik olmadığını gösteriyor.
Buna karşın uzaktan (HTTP üzerinden) çalışan MCP sunucuları için Kasım 2025 revizyonu gerçek ilerleme sağlıyor: OAuth 2.1 + PKCE (S256 zorunlu), RFC 8707 kaynak göstergeleriyle token yeniden kullanımının önlenmesi ve Dynamic Client Registration yerine Client ID Metadata Documents (CIMD) ile doğrulanabilir istemci kimliği. Mühendisler için asıl mesele ise 'confused deputy' saldırı sınıfı: sunucu, kullanıcı adına elinde tuttuğu yetkiyi kötüye kullanmaya kandırılabiliyor. Her eylemi belirli bir istemciye, kapsama ve kaynağa bağlamayan MCP sunucuları bu saldırıya açık kalıyor.