OX Security havaitsee MCP-palvelimia, jotka ulottuvat Kiinaan, Venäjälle ja kotiverkkoihin

OX Security julkaisi 24. syyskuuta 2026 tutkimuksen, jossa analysoitiin 15 465 MCP-palvelinta ja raportoitiin, että AI‑agentit, jotka käyttävät Model Context Protocol (MCP), voivat muodostaa yhteyden infrastruktuuriin Kiinassa ja Venäjällä, kotiverkoissa sekä hylätyissä verkkotunnuksissa — infrastruktuuri, jonka yritys sanoo sijaitsevan hallintakontrollien ulkopuolella, joita yritykset ovat rakentaneet pilviympäristöjensä ympärille.

Tutkimuksessa OX Security Research tarkasteli kolmen julkisen rekisterin (mcp-official-registry, cline-marketplace ja github-mcp-registry) listauksia ja supisti aineiston 5 095 ainutlaatuiseen isäntänimeen infrastruktuuri-analyysiä varten. Blogikirjoituksen, jossa työ esiteltiin, ovat kirjoittaneet Moshe Siman Tov Bustan, Nir Zadok, Roni Bar ja Vitalii Chepurko, ja täysi raportti, “15,465 MCP Servers. 0 Governance.”, käsittelee maantieteellistä sijaintia, verkkotunnuksen eheyttä ja kehotus‑injektion riskiä.

Anthropic esitteli MCP:n marraskuussa 2024 avoimena standardina, jonka avulla AI‑agentit ja sovellukset voivat yhdistää ulkoisiin työkaluihin ja tietolähteisiin. OX Securityn mukaan standardi jättää avoimeksi sen, ketkä osapuolet hallinnoivat palvelinta, missä se toimii, mitä dataa siihen virtaa, ja vastaako käyttöönotettu koodi julkaistua lähdekoodia; nämä päätökset ovat pitkälti organisaatioiden ja kehittäjien vastuulla, jotka tekevät yhteyksiä.

Tietojen Sijaintihavainnot

OX Security Research havaitsi, että 15,6 % analysoiduista isäntänimistä — 796 / 5 095 — osoittautui infrastruktuuriksi Yhdysvaltojen ulkopuolella, mukaan lukien 19 Kiinassa ja 18 Venäjällä. OX Security toteaa, että MCP:ssä ei ole protokollatasolla maantieteellistä aluekäsitettä eikä sisäänrakennettua mekanismia, joka säännelläisi, missä yhdistetyt työkalut suoritetaan tai missä data käsitellään. Yrityksen mukaan tuloksena on, että organisaatio voi ylläpitää tiukkoja sijaintikontrolleja omiin pilvitehtäviinsä, kun sen AI‑agentit pääsevät palvelimiin niiden ulkopuolella.

Aineiston erillinen osa, noin 0,45 %, koostui MCP-palvelimista, jotka kulkivat kotiverkkojen ja kuluttajapohjaisten tunnelointipalveluiden kautta. OX Security kuvaa tätä tuotantoympäristön AI‑työnkulkuina, jotka riippuvat infrastruktuurista, jolta puuttuvat käyttökatkon takuut, yritystason käyttövalvonta ja auditointimahdollisuus, koska sitä ei koskaan rakennettu yrityskäyttöön. Julkaisu esittää tämän altistumisen yritysten AI‑työnkulkuina, jotka toimivat keskitettyjen käyttövalvontojen ja auditointilokien ulkopuolella.

Verkkotunnuksen Overtakointireitit ja Kehotus‑injektiotestit

Analyysi havaitsi, että 2,3 % isäntänimistä ei enää ratkea. Kuusi näistä verkkotunnuksista oli rekisteröimättömiä ja saatavilla ostettavaksi 4–12 $ vuodessa, vaikka ne saattavat edelleen olla viitteinä olemassa olevissa asetuksissa tai putkissa, blogikirjoituksen mukaan. OX Security toteaa, että kuka tahansa, joka rekisteröi jonkin näistä verkkotunnuksista, voi esiintyä aiemmin siihen osoittaneena palvelimena, ja raportti varoittaa overtakinnoista, joissa MCP‑asiakkaat tai -työnkulut edelleen luottavat ja kutsuvat näitä päätepisteitä.

Tiimi testasi myös luottamuspohjaista kehotus‑injektiohyökkäystä Claude Code -mallia vastaan, joka oli yhdistetty Haiku 3.5:een. Testissä haitallinen MCP‑palvelin pyysi aluksi harmitonta tiedostoa, ja käyttäjä antoi pyynnön aina‑sallittu -lupauksella. Palvelin sen jälkeen pyysi arkaluonteisia tiedostoja, mukaan lukien a.env‑tiedoston, ja vastaanotti ne ilman lisäkäyttäjäpyyntöä. Sekä Opus 4.6 että Opus 4.7 havaitsivat ja estivät saman hyökkäyksen.

OX Security raportoi, että Anthropic kuvaili tulosta dokumentoiduksi käyttäytymiseksi, kun aina‑sallittu lupa on annettu, ja kuvaili mallitasoista haitallisen sisällön havaitsemista parhaan‑yrityksen heuristiikkana eikä turvallisuusrajana.

Johtajien lausunnot

yrityksen tiedote, jossa ilmoitettiin löydökset, Neatsun Ziv, OX Securityn perustaja ja toimitusjohtaja, sanoi: “Viimeisen vuosikymmenen ajan yritykset rakensivat pilvisuojauksen infrastruktuurin ympärille, jonka ne näkivät ja hallitsivat. Tämä tutkimus osoittaa, että tekoälyagentit alkavat ylittää nämä rajat.” Hän lisäsi, että kasvava agenttien pääsy, autonomia ja valtuudet tekevät kaikesta saavutettavasta infrastruktuurista osan turvallisuuskuvaa, riippumatta siitä, hallitseeko yritys sitä.

OX Securityn tutkimusjohtaja Moshe Siman Tov Bustan totesi, että markkinapaikan MCP-palvelimien turvallisuuden varmistaminen osoittautui odotettua vaikeammaksi, sekä yksittäisten palvelimien että koko infrastruktuurin osalta. Hän sanoi, että koodin tarkastaminen on mahdollista, mutta käyttöönotettu palvelin saattaa käyttää eri versiota, eikä ole keinoa tietää, kuka hallitsee tiettyä palvelinta, mitä dataa se kerää tai mitä tulevissa päivityksissä voisi muuttua.

Täysi raportti, jonka tekninen menetelmä ja uhkaskenaariot sisältyvät, on saatavilla OX Securityn verkkosivustolla.