OX Security découvre des serveurs MCP atteignant la Chine, la Russie et les réseaux domestiques

OX Security le 24 septembre 2026 recherche publiée analysant 15 465 serveurs MCP et indiquant que les agents d’IA utilisant le Model Context Protocol (MCP) peuvent se connecter à des infrastructures en Chine et en Russie, aux réseaux domestiques et aux domaines abandonnés — des infrastructures que l’entreprise affirme se situer en dehors des contrôles de gouvernance que les entreprises ont construits autour de leurs environnements cloud.

Pour l’étude, OX Security Research a examiné les serveurs répertoriés dans trois registres publics (mcp-official-registry, cline-marketplace et github-mcp-registry) et a réduit l’ensemble de données à 5 095 noms d’hôte uniques pour l’analyse de l’infrastructure. L’article de blog présentant le travail a été rédigé par Moshe Siman Tov Bustan, Nir Zadok, Roni Bar et Vitalii Chepurko, et le rapport complet, “15,465 MCP Servers. 0 Governance.”, couvre la géolocalisation, l’intégrité des domaines et le risque d’injection de prompts.

Anthropic a introduit le MCP en novembre 2024 comme une norme ouverte qui permet aux agents d’IA et aux applications de se connecter à des outils et sources de données externes. Selon OX Security, la norme laisse libre le choix des parties qui exploitent un serveur, de son emplacement, des données qui y transitent et de la correspondance entre le code déployé et la source publiée ; ces décisions relèvent principalement des organisations et des développeurs qui établissent les connexions.

Constatations sur la résidence des données

OX Security Research a constaté que 15,6 % des noms d’hôte analysés — 796 sur 5 095 — pointaient vers des infrastructures situées en dehors des États-Unis, dont 19 en Chine et 18 en Russie. OX Security indique que le MCP ne possède aucun concept de région géographique au niveau du protocole et aucun mécanisme intégré pour imposer où les outils connectés s’exécutent ou où les données sont traitées. Le résultat, selon l’entreprise, est qu’une organisation peut maintenir des contrôles de résidence stricts sur ses propres charges de travail cloud tandis que ses agents d’IA atteignent des serveurs au‑delà de ces limites.

Une tranche distincte du jeu de données, d’environ 0,45 %, était constituée de serveurs MCP proxys via des réseaux domestiques et des services de tunneling grand public. OX Security qualifie cela de flux de travail d’IA en production dépendant d’une infrastructure dépourvue de garanties de disponibilité, de contrôles d’accès d’entreprise et d’auditabilité, car elle n’a jamais été conçue pour un usage en entreprise. Le communiqué présente cette exposition comme des flux de travail d’IA d’entreprise fonctionnant au‑delà des contrôles d’accès centralisés et de la journalisation d’audit.

Chemins de prise de contrôle de domaine et tests d’injection de prompts

L’analyse a révélé que 2,3 % des noms d’hôte ne résolvent plus. Six de ces domaines étaient non enregistrés et disponibles à l’achat de 4 à 12 $ par an, bien qu’ils puissent encore être référencés dans des configurations ou pipelines existants, selon l’article de blog. OX Security indique que toute personne enregistrant l’un de ces domaines pourrait usurper le serveur auquel il pointait auparavant, et le rapport met en garde contre les chemins de prise de contrôle où les clients ou flux de travail MCP continuent de faire confiance et d’appeler ces points de terminaison.

L’équipe a également testé une attaque d’injection de prompts basée sur la confiance contre Claude Code associé à Haiku 3.5. Dans le test, un serveur MCP malveillant a d’abord demandé un fichier inoffensif, et l’utilisateur a accordé la requête avec une permission toujours‑autoriser. Le serveur a ensuite réclamé des fichiers sensibles, dont un fichier .env, et les a reçus sans aucune autre invite de l’utilisateur. Les versions Opus 4.6 et Opus 4.7 ont toutes deux détecté et bloqué la même attaque.

OX Security rapporte qu’Anthropic a qualifié le résultat de comportement documenté dès qu’une permission toujours‑autoriser est accordée, et a décrit la détection au niveau du modèle de contenu malveillant comme une heuristique de bonne foi plutôt que comme une frontière de sécurité.

Déclarations exécutives

Dans un communiqué d’entreprise annonçant les résultats, Neatsun Ziv, cofondateur et PDG d’OX Security, a déclaré : « Depuis une décennie, les entreprises construisent la sécurité du cloud autour d’une infrastructure qu’elles peuvent voir et contrôler. Ce que montre cette recherche, c’est que les agents d’IA commencent à dépasser ces limites. » Il a ajouté que l’augmentation de l’accès, de l’autonomie et de l’autorité des agents rend toute infrastructure accessible partie intégrante du panorama de sécurité, qu’elle soit contrôlée par l’entreprise ou non.

Moshe Siman Tov Bustan, responsable de la recherche chez OX Security, a déclaré que valider la sécurité des MCP servers du marché s’est avéré plus difficile que prévu, tant pour les serveurs individuels que pour l’infrastructure dans son ensemble. Examiner le code est possible, a‑t‑il indiqué, mais le serveur déployé peut exécuter une version différente, et il n’existe aucun moyen de savoir qui contrôle un serveur donné, quelles données il collecte, ou ce qui pourrait changer dans de futures mises à jour.

Le rapport complet, avec sa méthodologie technique et ses scénarios de menace, est disponible sur le site Web d’OX Security.