Az AI-asszisztensek egyre több feladatot tudnak elvégezni helyettünk. Dokumentumokat keresnek, feladatokat hoznak létre, adatbázisokat kérdeznek le, vagy éppen kódot futtatnak. Ehhez azonban hozzáférésre van szükségük azokhoz a rendszerekhez, amelyekben dolgozunk.
Az ilyen integrációkat könnyíti meg a Model Context Protocol (MCP). Használatával az AI-asszisztensek egységes módon kapcsolódhatnak külső alkalmazásokhoz és szolgáltatásokhoz.
A lehetőségek mellett viszont új biztonsági kérdések is felmerülnek. Egy MCP-szerver csatlakoztatásakor ugyanis nemcsak új funkciókat kapunk, hanem hozzáférést is adhatunk adatokhoz és rendszerekhez. Érdemes tehát megnézni, pontosan mit engedünk be a környezetünkbe.
Hogyan működnek az MCP-szerverek
Az MCP egy nyílt szabvány, amely meghatározza, hogyan kommunikálhatnak az AI-alapú alkalmazások a külső eszközökkel.
Egy MCP-szerver például lehetővé teheti, hogy az asszisztens dokumentumokat keressen egy vállalati tárhelyen, lekérdezze egy projekt feladatait, vagy módosításokat végezzen egy másik alkalmazásban.
A szervereknek két elterjedt típusa van.
A lokális MCP-szerverek saját számítógépünkön futnak, jellemzően valamilyen telepített program vagy csomag formájában. Előnyük, hogy a használt verzió ellenőrizhető és rögzíthető. Ugyanakkor külső forrásból származó kódot futtatunk, amely megfelelő korlátozások nélkül a saját jogosultságainkkal is hozzáférhet a rendszerhez.
A remote MCP-szerverek ezzel szemben a szolgáltató infrastruktúráján működnek. Ilyen megoldást kínál például a Figma vagy a Microsoft Learn. Nem kell helyben futtatnunk a szerver kódját, de a háttérben zajló változások felett kisebb a kontrollunk.
Mindkét megoldásnál fontos szerepük van a funkciók szöveges leírásainak. Az AI ezek alapján dönti el, melyik eszközt mikor és hogyan használja.
Ez azért érdekes, mert a leírások is befolyásolhatják a modell viselkedését. Egy rosszindulatúan megfogalmazott szöveg akár olyan műveletre is megpróbálhatja rávenni az asszisztenst, amelyet a felhasználó nem kért.
Valós biztonsági kockázatról beszélünk?
Az MCP-szerverek biztonságát az elmúlt időszakban több nagyobb kutatás is vizsgálta.
A Backslash Security 8000 népszerű MCP-szervert elemzett. Ezek 29%-ánál találtak legalább egy biztonsági kockázatra utaló jelzést. Hat esetben pedig olyan sérülékenységet is igazoltak, amely nem szándékolt távoli kódfuttatást tett lehetővé. 1
A Trend Micro / TrendAI Research több mint 19 000 nyílt forráskódú MCP-repositoryt vizsgált meg. Becslésük szerint 600–1650 projekt tartalmazhat ténylegesen kihasználható sérülékenységet, többek között SQL injection, távoli kódfuttatás vagy path traversal formájában. 2
A két kutatás eltérő módszereket használt, ezért az eredményeik közvetlenül nem hasonlíthatók össze. Arra viszont mindkettő felhívja a figyelmet, hogy egy MCP-szerver népszerűsége vagy nyílt forráskódú jellege önmagában nem jelent biztonsági garanciát.
Mit érdemes ellenőrizni a csatlakoztatás előtt?
Néhány alapvető kérdéssel már a kiválasztás során sok kockázat kiszűrhető.
Elsőként érdemes tisztázni, ki áll a szerver mögött. Egy ismert szolgáltatáshoz több, hasonló nevű MCP-szerver is elérhető lehet. Remote szervernél célszerű ellenőrizni a pontos címet, és megnézni, hogy arra a szolgáltató hivatalos dokumentációja is hivatkozik-e.
Lokális szervernél a csomag kiadója, karbantartottsága és verziója fontos. Egy ismert gyártó neve a csomag elnevezésében még nem bizonyítja, hogy valóban ő készítette.
A jogosultságokat sem érdemes figyelmen kívül hagyni. Egy dokumentumkereső integrációnak például általában nincs szüksége törlési jogosultságra. Minél több műveletet engedünk meg, annál nagyobb lehet egy hiba vagy támadás következménye.
Az is hasznos információ, ha a szerver szerepel valamelyik hivatalos registry-ben. Ez azonban nem helyettesíti a biztonsági ellenőrzést: a katalógusban való megjelenés nem feltétlenül jelenti azt, hogy a szerver teljes működését auditálták.
Lokális telepítésnél lehetőség szerint rögzített, előzetesen ellenőrzött verziót érdemes használni. Remote szervereknél pedig arra is fel kell készülni, hogy a szolgáltató később módosíthatja az elérhető funkciókat.
Az ellenőrzés nem egyszeri feladat
Az MCP hasznos eszköz az AI-asszisztensek és a vállalati rendszerek összekapcsolására. Használatát nem feltétlenül korlátozni kell, hanem megfelelő ellenőrzések mellett bevezetni.
Ehhez fontos tudni, ki üzemelteti az adott szervert, milyen hozzáférésekkel rendelkezik, és hogyan követhetők a változásai.
Az alapvető ellenőrzések után azonban maradnak kevésbé nyilvánvaló kockázatok is. A következő részben konkrét példákon keresztül mutatjuk be, hogyan lehet egy egyszerű funkció leírásába rejtett utasítással manipulálni az AI-t, és mit tudnak ezekből felismerni az automatizált biztonsági vizsgálatok.
Források
- Backslash Security (2026): Among the 8,000 Most Popular MCP Servers, We Found 29% With Significant Risk. Eredeti kutatás.
- TrendAI Research / Trend Micro (2026): Hunt Them All: An AI-Powered Vulnerability Sweep of 19,000 MCP Servers. Eredeti kutatás.
