Η OX Security διαπιστώνει ότι οι διακομιστές MCP φθάνουν στην Κίνα, τη Ρωσία και τα οικιακά δίκτυα

OX Security στις 24 Σεπτεμβρίου 2026 δημοσίευσε έρευνα που ανέλυσε 15,465 MCP διακομιστές και ανέφερε ότι οι πράκτορες AI που χρησιμοποιούν το Model Context Protocol (MCP) μπορούν να συνδεθούν σε υποδομές στην Κίνα και τη Ρωσία, σε οικιακά δίκτυα και σε εγκαταλελειμμένα domain — υποδομές που, σύμφωνα με την εταιρεία, βρίσκονται εκτός των ελέγχων διακυβέρνησης που έχουν δημιουργήσει οι επιχειρήσεις γύρω από τα cloud περιβάλλοντά τους.

Για τη μελέτη, η OX Security Research εξέτασε διακομιστές που καταχωρήθηκαν σε τρία δημόσια μητρώα (mcp-official-registry, cline-marketplace και github-mcp-registry) και μείωσε το σύνολο δεδομένων σε 5,095 μοναδικά ονόματα κεντρικών υπολογιστών για ανάλυση υποδομής. Η ανάρτηση του blog που παρουσίαζε την εργασία συντάχθηκε από τους Moshe Siman Tov Bustan, Nir Zadok, Roni Bar και Vitalii Chepurko, και η πλήρης αναφορά, “15,465 MCP διακομιστές. 0 Διακυβέρνηση.”, καλύπτει τη γεωτοποθεσία, την ακεραιότητα των domain και τον κίνδυνο έγχυσης προτροπών.

Η Anthropic παρουσίασε το MCP τον Νοέμβριο του 2024 ως ένα ανοιχτό πρότυπο που επιτρέπει στους πράκτορες AI και στις εφαρμογές να συνδέονται με εξωτερικά εργαλεία και πηγές δεδομένων. Σύμφωνα με την OX Security, το πρότυπο αφήνει ανοιχτό το ποια μέρη διαχειρίζονται έναν διακομιστή, πού λειτουργεί, ποια δεδομένα ρέουν σε αυτόν και εάν ο κώδικας που έχει αναπτυχθεί ταιριάζει με την δημοσιευμένη πηγή· αυτές οι αποφάσεις εξαρτώνται κυρίως από τις οργανώσεις και τους προγραμματιστές που δημιουργούν τις συνδέσεις.

Αποτελέσματα Κατοικίας Δεδομένων

Η OX Security Research διαπίστωσε ότι το 15,6 % των αναλυθέντων ονομάτων κεντρικών υπολογιστών — 796 από 5,095 — κατευθύνθηκαν σε υποδομές εκτός των Ηνωμένων Πολιτειών, συμπεριλαμβανομένων 19 στην Κίνα και 18 στη Ρωσία. Η OX Security δηλώνει ότι το MCP δεν διαθέτει έννοια επιπέδου πρωτοκόλλου για γεωγραφική περιοχή και δεν έχει ενσωματωμένο μηχανισμό για την επιβολή του πού εκτελούνται τα συνδεδεμένα εργαλεία ή πού επεξεργάζονται τα δεδομένα. Το αποτέλεσμα, σύμφωνα με την εταιρεία, είναι ότι ένας οργανισμός μπορεί να διατηρήσει αυστηρούς ελέγχους κατοικίας για τα δικά του cloud φορτία εργασίας, ενώ οι πράκτορες AI του φθάνουν σε διακομιστές πέρα από αυτά.

Ένα ξεχωριστό τμήμα του συνόλου δεδομένων, περίπου 0,45 %, αποτελούνταν από διακομιστές MCP που προωθούνταν μέσω οικιακών δικτύων και καταναλωτικών υπηρεσιών δημιουργίας τούνελ. Η OX Security το χαρακτηρίζει ως παραγωγικές ροές εργασίας AI που εξαρτώνται από υποδομές χωρίς εγγυήσεις διαθεσιμότητας, έλεγχο πρόσβασης επιχειρήσεων και δυνατότητα ελέγχου, επειδή δεν κατασκευάστηκε ποτέ για επιχειρηματική χρήση. Η ανακοίνωση παρουσιάζει αυτήν την έκθεση ως ροές εργασίας AI επιχειρήσεων που λειτουργούν πέρα από κεντρικούς ελέγχους πρόσβασης και καταγραφή ελέγχου.

Διαδρομές Κατάληψης Domain και Δοκιμές Έγχυσης Προτροπής

Η ανάλυση διαπίστωσε ότι το 2,3 % των ονομάτων κεντρικών υπολογιστών δεν επιλύονται πλέον. Έξι από αυτά τα domain ήταν μη καταχωρημένα και διατίθενται για αγορά μεταξύ $4 και $12 ετησίως, παρόλο που μπορεί να αναφέρονται ακόμη σε υπάρχουσες ρυθμίσεις ή pipelines, σύμφωνα με την ανάρτηση του blog. Η OX Security δηλώνει ότι όποιος καταχωρήσει ένα από αυτά τα domain θα μπορούσε να υποδυθεί τον διακομιστή στον οποίο έδειχνε προηγουμένως, και η αναφορά προειδοποιεί για διαδρομές κατάληψης όπου οι πελάτες ή οι ροές εργασίας MCP εξακολουθούν να εμπιστεύονται και να καλούν αυτά τα άκρα.

Η ομάδα δοκίμασε επίσης μια επίθεση έγχυσης προτροπής βασισμένη στην εμπιστοσύνη εναντίον του Claude Code σε συνδυασμό με το Haiku 3.5. Στο τεστ, ένας κακόβουλος διακομιστής MCP ζήτησε αρχικά ένα αβλαβές αρχείο, και ο χρήστης χορήγησε το αίτημα με άδεια «always-allow». Στη συνέχεια, ο διακομιστής ζήτησε ευαίσθητα αρχεία, συμπεριλαμβανομένου ενός αρχείου .env, και τα έλαβε χωρίς περαιτέρω προτροπή από τον χρήστη. Και τα δύο, Opus 4.6 και Opus 4.7, ανίχνευσαν και μπλόκαραν την ίδια επίθεση.

Η OX Security αναφέρει ότι η Anthropic χαρακτήρισε το αποτέλεσμα ως τεκμηριωμένη συμπεριφορά μόλις χορηγηθεί άδεια «always-allow», και περιέγραψε την ανίχνευση επιπέδου μοντέλου κακόβουλου περιεχομένου ως μια προσέγγιση βέλτιστης προσπάθειας αντί για ένα όριο ασφαλείας.

Δηλώσεις Διοίκησης

Σε μια ανακοίνωση της εταιρείας που ανακοίνωσε τα ευρήματα, ο Neatsun Ziv, συνιδρυτής και Διευθύνων Σύμβουλος της OX Security, δήλωσε: «Την τελευταία δεκαετία, οι επιχειρήσεις έκαναν την ασφάλεια του cloud γύρω από υποδομές που μπορούσαν να δουν και να ελέγξουν. Αυτό που δείχνει η έρευνα είναι ότι οι πράκτορες AI αρχίζουν να φθάνουν πέρα από αυτά τα όρια.» Πρόσθεσε ότι η αυξανόμενη πρόσβαση, αυτονομία και εξουσία των πρακτόρων καθιστούν οποιαδήποτε προσβάσιμη υποδομή μέρος της εικόνας ασφαλείας, ανεξάρτητα από το αν η επιχείρηση την ελέγχει.

Ο Moshe Siman Tov Bustan, επικεφαλής έρευνας στην OX Security, δήλωσε ότι η επαλήθευση της ασφάλειας των διακομιστών MCP στην αγορά αποδείχθηκε πιο δύσκολη από το αναμενόμενο, τόσο για μεμονωμένους διακομιστές όσο και για την υποδομή συνολικά. Η επιθεώρηση του κώδικα είναι δυνατή, είπε, αλλά ο αναπτυγμένος διακομιστής μπορεί να τρέχει διαφορετική έκδοση, και δεν υπάρχει τρόπος να γνωρίζουμε ποιος ελέγχει έναν συγκεκριμένο διακομιστή, ποια δεδομένα συλλέγει ή τι μπορεί να αλλάξει σε μελλοντικές ενημερώσεις.

Η πλήρης αναφορά, με τη τεχνική μεθοδολογία και τα σενάρια απειλών, είναι διαθέσιμη στην ιστοσελίδα της OX Security.