OX Security finner MCP-servere som når Kina, Russland og hjemmenettverk

OX Security publiserte forskning 24. september 2026; forskningen analyserer 15 465 MCP-servere og rapporterer at AI‑agenter som bruker Model Context Protocol (MCP) kan koble til infrastruktur i Kina og Russland, hjemmenettverk og forlatte domener – infrastruktur selskapet sier befinner seg utenfor styringskontrollene som virksomheter har bygget rundt sine sky‑miljøer.

For studien undersøkte OX Security Research servere oppført i tre offentlige registre (mcp-official-registry, cline-marketplace og github-mcp-registry) og reduserte datasettet til 5 095 unike vertsnavn for infrastruktur‑analyse. Blogginnlegget som presenterer arbeidet ble skrevet av Moshe Siman Tov Bustan, Nir Zadok, Roni Bar og Vitalii Chepurko, og den fullstendige rapporten, “15,465 MCP Servers. 0 Governance.”, dekker geolokasjon, domeneintegritet og risiko for prompt‑injeksjon.

Anthropic introduserte MCP i november 2024 som en åpen standard som lar AI‑agenter og applikasjoner koble til eksterne verktøy og datakilder. Ifølge OX Security etterlater standarden åpent hvilke parter som driver en server, hvor den kjører, hvilke data som flyter til den, og om koden som er satt i drift samsvarer med den publiserte kilden; disse beslutningene ligger i stor grad hos organisasjonene og utviklerne som etablerer tilkoblingene.

Funn om datalokalisering

OX Security Research fant at 15,6 % av de analyserte vertsnavnene – 796 av 5 095 – pekte til infrastruktur utenfor USA, inkludert 19 i Kina og 18 i Russland. OX Security oppgir at MCP ikke har noe protokollnivåkonsept for geografisk region og ingen innebygd mekanisme for å håndheve hvor tilkoblede verktøy kjører eller hvor data behandles. Resultatet, ifølge selskapet, er at en organisasjon kan opprettholde strenge lokasjonskontroller over sine egne sky‑arbeidsbelastninger mens AI‑agentene når servere utenfor dem.

Et eget utsnitt av datasettet, omtrent 0,45 %, bestod av MCP-servere som ble proxet gjennom hjemmenettverk og forbrukertunnel‑tjenester. OX Security karakteriserer dette som produksjons‑AI‑arbeidsflyter som er avhengige av infrastruktur som mangler oppetidsgarantier, bedrifts‑tilgangskontroller og mulighet for revisjon, fordi den aldri ble bygget for bedriftsbruk. Pressemeldingen fremstiller denne eksponeringen som bedrifts‑AI‑arbeidsflyter som opererer utenfor sentraliserte tilgangskontroller og revisjonslogg.

Domene‑overtakelsesveier og testing av prompt‑injeksjon

Analysen fant at 2,3 % av vertsnavnene ikke lenger kan oversettes til adresser. Seks av disse domenene var uregistrerte og tilgjengelige for kjøp til $4–$12 per år, selv om de fortsatt kan være referert i eksisterende konfigurasjoner eller pipelines, ifølge blogginnlegget. OX Security oppgir at hvem som helst som registrerer ett av disse domenene kan utgi seg for serveren det tidligere pekte på, og rapporten advarer om overtaksveier der MCP‑klienter eller arbeidsflyter fortsatt stoler på og kaller disse endepunktene.

Teamet testet også et tillitsbasert prompt‑injeksjonsangrep mot Claude Code i kombinasjon med Haiku 3.5. I testen ba en ondsinnet MCP‑server først om en ufarlig fil, og brukeren ga tillatelsen med en alltid‑tillat‑rettighet. Serveren ba deretter om sensitive filer, inkludert en .env‑fil, og mottok dem uten ytterligere forespørsel om godkjenning til brukeren. Både Opus 4.6 og Opus 4.7 oppdaget og blokkerte det samme angrepet.

OX Security rapporterer at Anthropic karakteriserte utfallet som dokumentert oppførsel når en alltid‑tillat‑rettighet er gitt, og beskrev modellnivå‑deteksjon av ondsinnet innhold som en best‑effort‑heuristikk snarere enn en sikkerhetsgrense.

Ledelsesuttalelser

I en bedriftsmelding som kunngjorde funnene, sa Neatsun Ziv, medgründer og administrerende direktør i OX Security: «I et tiår har virksomheter bygget sky‑sikkerhet rundt infrastruktur de kunne se og kontrollere. Det denne forskningen viser, er at AI‑agenter begynner å nå utover disse grensene.» Han la til at økende agent‑tilgang, autonomi og myndighet gjør all tilgjengelig infrastruktur til en del av sikkerhetsbildet, uavhengig av om virksomheten kontrollerer den.

Moshe Siman Tov Bustan, forskningsleder i OX Security, sa at validering av sikkerheten til markedsplassens MCP-servere viste seg vanskeligere enn forventet, både for enkelt‑servere og for infrastrukturen som helhet. Å inspisere koden er mulig, sa han, men serveren som er satt i drift kan kjøre en annen versjon, og det finnes ingen måte å vite hvem som kontrollerer en gitt server, hvilke data den samler inn, eller hva som kan endres i fremtidige oppdateringer.

Den fullstendige rapporten, med sin tekniske metodikk og trusselscenarier, er tilgjengelig på OX Security‑nettstedet.