OX Security finner MCP-servere som når Kina, Russland og hjemmenettverk

OX Security 24. september 2026 publisert forskning som analyserer 15 465 MCP-servere og rapporterer at AI‑agenter som bruker Model Context Protocol (MCP) kan koble til infrastruktur i Kina og Russland, hjemmenettverk og forlatte domener – infrastruktur selskapet sier befinner seg utenfor styringskontrollene som virksomheter har bygget rundt sine sky‑miljøer.

For studien undersøkte OX Security Research servere oppført i tre offentlige registre (mcp-official-registry, cline-marketplace og github-mcp-registry) og reduserte datasettet til 5 095 unike vertsnavn for infrastruktur‑analyse. Blogginnlegget som presenterer arbeidet ble skrevet av Moshe Siman Tov Bustan, Nir Zadok, Roni Bar og Vitalii Chepurko, og den fullstendige rapporten, “15,465 MCP Servers. 0 Governance.”, dekker geolokasjon, domenekvalitet og risiko for prompt‑injeksjon.

Anthropic introduserte MCP i november 2024 som en åpen standard som lar AI‑agenter og applikasjoner koble til eksterne verktøy og datakilder. Ifølge OX Security etterlater standarden åpent hvilke parter som driver en server, hvor den kjører, hvilke data som flyter til den, og om den distribuerte koden samsvarer med den publiserte kilden; disse beslutningene ligger i stor grad hos organisasjonene og utviklerne som etablerer tilkoblingene.

Funn om datalokalisering

OX Security Research fant at 15,6 % av de analyserte vertsnavnene – 796 av 5 095 – pekte til infrastruktur utenfor USA, inkludert 19 i Kina og 18 i Russland. OX Security oppgir at MCP ikke har noe protokollnivåkonsept for geografisk region og ingen innebygd mekanisme for å håndheve hvor tilkoblede verktøy kjører eller hvor data behandles. Resultatet, ifølge selskapet, er at en organisasjon kan opprettholde strenge lokasjonskontroller over sine egne sky‑arbeidsbelastninger mens AI‑agentene når servere utenfor dem.

Et eget utsnitt av datasettet, omtrent 0,45 %, bestod av MCP-servere som ble proxet gjennom hjemmenettverk og forbrukertunnel‑tjenester. OX Security karakteriserer dette som produksjons‑AI‑arbeidsflyter som er avhengige av infrastruktur som mangler oppetidsgarantier, bedrifts‑tilgangskontroller og sporbarhet, fordi den aldri ble bygget for bedriftsbruk. Utgivelsen fremstiller denne eksponeringen som bedrifts‑AI‑arbeidsflyter som opererer utenfor sentraliserte tilgangskontroller og revisjonslogg.

Domene‑overtakelsesveier og testing av prompt‑injeksjon

Analysen fant at 2,3 % av vertsnavnene ikke lenger løser. Seks av disse domenene var uregistrerte og tilgjengelige for kjøp til $4–$12 per år, selv om de fortsatt kan være referert i eksisterende konfigurasjoner eller pipelines, ifølge blogginnlegget. OX Security oppgir at hvem som helst som registrerer ett av disse domenene kan utgi seg for serveren det tidligere pekte på, og rapporten advarer om overtaksveier der MCP‑klienter eller arbeidsflyter fortsatt stoler på og kaller disse endepunktene.

Teamet testet også et tillitsbasert prompt‑injeksjonsangrep mot Claude Code i kombinasjon med Haiku 3.5. I testen ba en ondsinnet MCP‑server først om en ufarlig fil, og brukeren ga tillatelsen med en alltid‑tillat‑rettighet. Serveren ba deretter om sensitive filer, inkludert en .env‑fil, og mottok dem uten ytterligere brukerprompt. Både Opus 4.6 og Opus 4.7 oppdaget og blokkerte det samme angrepet.

OX Security rapporterer at Anthropic karakteriserte utfallet som dokumentert oppførsel når en alltid‑tillat‑rettighet er gitt, og beskrev modellnivå‑deteksjon av ondsinnet innhold som en best‑effort‑heuristikk snarere enn en sikkerhetsgrense.

Ledelsesuttalelser

I en bedriftsmelding som kunngjorde funnene, sa Neatsun Ziv, medgründer og administrerende direktør i OX Security: «I et tiår har virksomheter bygget sky‑sikkerhet rundt infrastruktur de kunne se og kontrollere. Det denne forskningen viser, er at AI‑agenter begynner å nå utover disse grensene.» Han la til at økende agent‑tilgang, autonomi og myndighet gjør all tilgjengelig infrastruktur til en del av sikkerhetsbildet, uavhengig av om virksomheten kontrollerer den.

Moshe Siman Tov Bustan, forskningsleder i OX Security, sa at validering av sikkerheten til markedsplassens MCP-servere viste seg vanskeligere enn forventet, både for enkelt‑servere og for infrastrukturen som helhet. Å inspisere koden er mulig, sa han, men den distribuerte serveren kan kjøre en annen versjon, og det finnes ingen måte å vite hvem som kontrollerer en gitt server, hvilke data den samler inn, eller hva som kan endres i fremtidige oppdateringer.

Den fullstendige rapporten, med sin tekniske metodikk og trusselscenarier, er tilgjengelig på OX Security‑nettstedet.