OX Security havaitsee MCP-palvelimia, jotka ulottuvat Kiinaan, Venäjälle ja kotiverkkoihin

OX Security julkaisi 24. syyskuuta 2026 tutkimuksen, jossa analysoitiin 15 465 MCP-palvelinta ja raportoitiin, että AI‑agentit, jotka käyttävät Model Context Protocol (MCP), voivat muodostaa yhteyden infrastruktuuriin Kiinassa ja Venäjällä, kotiverkoissa sekä hylätyissä verkkotunnuksissa — infrastruktuuri, jonka yritys sanoo sijaitsevan hallintakontrollien ulkopuolella, joita yritykset ovat rakentaneet pilviympäristöjensä ympärille.

Tutkimuksessa OX Security Research tarkasteli kolmen julkisen rekisterin (mcp-official-registry, cline-marketplace ja github-mcp-registry) listauksia ja supisti aineiston 5 095 ainutlaatuiseen isäntänimeen infrastruktuuri-analyysiä varten. Blogikirjoituksen, jossa työ esiteltiin, ovat kirjoittaneet Moshe Siman Tov Bustan, Nir Zadok, Roni Bar ja Vitalii Chepurko, ja täysi raportti, “15,465 MCP Servers. 0 Governance.”, käsittelee maantieteellistä sijaintia, verkkotunnuksen eheyttä ja kehotus‑injektion riskiä.

Anthropic esitteli MCP:n marraskuussa 2024 avoimena standardina, jonka avulla AI‑agentit ja sovellukset voivat muodostaa yhteyden ulkoisiin työkaluihin ja tietolähteisiin. OX Securityn mukaan standardi jättää avoimeksi sen, ketkä osapuolet hallinnoivat palvelinta, missä se toimii, mitä dataa siihen virtaa, ja vastaako käyttöönotettu koodi julkaistua lähdekoodia; nämä päätökset ovat pitkälti organisaatioiden ja kehittäjien vastuulla, jotka tekevät yhteyksiä.

Tietojen Sijaintihavainnot

OX Security Research havaitsi, että 15,6 % analysoiduista isäntänimistä — 796 / 5 095 — viittasi infrastruktuuriin Yhdysvaltojen ulkopuolella, mukaan lukien 19 Kiinassa ja 18 Venäjällä. OX Security toteaa, että MCP:ssä ei ole protokollatasolla maantieteellistä aluekäsitettä eikä sisäänrakennettua mekanismia, joka sääntelisi, missä yhdistetyt työkalut suoritetaan tai missä data käsitellään. Yrityksen mukaan tuloksena on, että organisaatio voi ylläpitää tiukkoja sijaintikontrolleja omiin pilvitehtäviinsä, kun sen AI‑agentit pääsevät palvelimiin niiden ulkopuolella.

Aineiston erillinen osa, noin 0,45 %, koostui MCP-palvelimista, joiden liikennettä välitettiin kotiverkkojen ja kuluttajapohjaisten tunnelointipalveluiden kautta. OX Security kuvaa tätä tuotantoympäristön AI‑työnkulkuina, jotka riippuvat infrastruktuurista, jolta puuttuvat käytettävyyden takeet, yritystason käyttövalvonta ja auditointimahdollisuus, koska sitä ei koskaan rakennettu yrityskäyttöön. Julkaisu esittää tämän altistumisen yritysten AI‑työnkulkuina, jotka toimivat keskitettyjen käyttövalvontojen ja auditointilokien ulkopuolella.

Verkkotunnusten haltuunottoreitit ja Kehotus‑injektiotestit

Analyysi havaitsi, että 2,3 % isäntänimistä ei enää ratkea verkko-osoitteeksi. Kuusi näistä verkkotunnuksista oli rekisteröimättömiä ja saatavilla ostettavaksi 4–12 $ vuodessa, vaikka ne saattavat edelleen olla viitteinä olemassa olevissa asetuksissa tai putkissa, blogikirjoituksen mukaan. OX Security toteaa, että kuka tahansa, joka rekisteröi jonkin näistä verkkotunnuksista, voi esiintyä palvelimena, johon kyseinen verkkotunnus aiemmin osoitti, ja raportti varoittaa haltuunottoreiteistä, joissa MCP‑asiakkaat tai -työnkulut edelleen luottavat näihin päätepisteisiin ja kutsuvat niitä.

Tiimi testasi myös luottamuspohjaista kehotus‑injektiohyökkäystä Claude Codea vastaan, joka oli yhdistetty Haiku 3.5:een. Testissä haitallinen MCP‑palvelin pyysi aluksi harmitonta tiedostoa, ja käyttäjä hyväksyi pyynnön aina sallivalla käyttöoikeudella. Palvelin sen jälkeen pyysi arkaluonteisia tiedostoja, mukaan lukien a.env‑tiedoston, ja vastaanotti ne ilman uutta käyttäjältä pyydettyä vahvistusta. Sekä Opus 4.6 että Opus 4.7 havaitsivat ja estivät saman hyökkäyksen.

OX Security raportoi, että Anthropic kuvaili tulosta dokumentoiduksi käyttäytymiseksi, kun aina‑sallittu lupa on annettu, ja kuvaili mallitasoista haitallisen sisällön havaitsemista parhaaseen mahdolliseen tulokseen pyrkiväksi heuristiikaksi eikä turvallisuusrajaksi.

Johtajien lausunnot

Yrityksen tiedotteessa, jossa ilmoitettiin löydökset, Neatsun Ziv, yksi OX Securityn perustajista ja toimitusjohtaja, sanoi: “Viimeisen vuosikymmenen ajan yritykset rakensivat pilvisuojauksen infrastruktuurin ympärille, jonka ne näkivät ja hallitsivat. Tämä tutkimus osoittaa, että tekoälyagentit alkavat ylittää nämä rajat.” Hän lisäsi, että kasvava agenttien pääsy, autonomia ja valtuudet tekevät kaikesta saavutettavasta infrastruktuurista osan turvallisuuskuvaa, riippumatta siitä, hallitseeko yritys sitä.

OX Securityn tutkimusjohtaja Moshe Siman Tov Bustan totesi, että markkinapaikan MCP-palvelimien turvallisuuden varmistaminen osoittautui odotettua vaikeammaksi, sekä yksittäisten palvelimien että koko infrastruktuurin osalta. Hän sanoi, että koodin tarkastaminen on mahdollista, mutta käyttöönotettu palvelin saattaa käyttää eri versiota, eikä ole keinoa tietää, kuka hallitsee tiettyä palvelinta, mitä dataa se kerää tai mitä tulevissa päivityksissä voisi muuttua.

Täysi raportti, joka sisältää teknisen menetelmän ja uhkaskenaariot, on saatavilla OX Securityn verkkosivustolla.