OX Security odkrywa serwery MCP docierające do Chin, Rosji i sieci domowych

OX Security w dniu 24 września 2026 r. opublikowane badania analizujące 15,465 serwerów MCP i informujące, że agenci AI korzystający z Model Context Protocol (MCP) mogą łączyć się z infrastrukturą w Chinach i Rosji, w sieciach domowych oraz z porzuconymi domenami — infrastruktura, którą firma twierdzi, że znajduje się poza kontrolą zarządzania, jaką przedsiębiorstwa budują wokół swoich środowisk chmurowych.

Dla badania, OX Security Research przeanalizował serwery wymienione w trzech publicznych rejestrach (mcp-official-registry, cline-marketplace i github-mcp-registry) i ograniczył zestaw danych do 5,095 unikalnych nazw hostów do analizy infrastruktury. Post na blogu prezentujący pracę został napisany przez Moshe Siman Tov Bustana, Nir Zadoka, Roni Bara i Vitalii Chepurko, a pełny raport, \”15,465 MCP Servers. 0 Governance.\”, obejmuje geolokalizację, integralność domen oraz ryzyko wstrzykiwania poleceń.

Anthropic wprowadziło MCP w listopadzie 2024 r. jako otwarty standard, który umożliwia agentom AI i aplikacjom łączenie się z zewnętrznymi narzędziami i źródłami danych. Według OX Security standard pozostawia otwarte, które podmioty obsługują serwer, gdzie jest on uruchamiany, jakie dane do niego przepływają oraz czy wdrożony kod odpowiada opublikowanemu źródłu; decyzje te w dużej mierze zależą od organizacji i deweloperów nawiązujących połączenia.

Wyniki dotyczące rezydencji danych

OX Security Research odkryło, że 15,6 procent analizowanych nazw hostów — 796 z 5,095 — wskazuje na infrastrukturę poza Stanami Zjednoczonymi, w tym 19 w Chinach i 18 w Rosji. OX Security podkreśla, że MCP nie posiada koncepcji regionu geograficznego na poziomie protokołu ani wbudowanego mechanizmu wymuszania, gdzie uruchamiane są połączone narzędzia lub gdzie przetwarzane są dane. Wynik, według firmy, polega na tym, że organizacja może utrzymać ścisłe kontrole rezydencji własnych obciążeń w chmurze, podczas gdy jej agenci AI docierają do serwerów poza nimi.

Osobny fragment zestawu danych, stanowiący około 0,45 procent, składał się z serwerów MCP przekierowywanych przez sieci domowe i konsumenckie usługi tunelowania. OX Security określa to jako produkcyjne przepływy pracy AI zależne od infrastruktury, której brakuje gwarancji dostępności, kontroli dostępu na poziomie przedsiębiorstwa oraz możliwości audytu, ponieważ nigdy nie została zbudowana z myślą o zastosowaniach korporacyjnych. Komunikat przedstawia to ryzyko jako przepływy pracy AI w przedsiębiorstwach działające poza scentralizowanymi kontrolami dostępu i rejestrowaniem zdarzeń.

Ścieżki przejęcia domen i testy wstrzykiwania poleceń

Analiza wykazała, że 2,3 procent nazw hostów nie rozwiązuje się już. Sześć z tych domen było niezarejestrowanych i dostępnych do zakupu w cenie od 4$ do 12$ rocznie, mimo że mogą nadal być odwoływane w istniejących konfiguracjach lub pipeline’ach, jak podano w poście na blogu. OX Security informuje, że każdy, kto zarejestruje jedną z tych domen, może podszyć się pod serwer, do którego wcześniej prowadziła, a raport ostrzega przed ścieżkami przejęcia, w których klienci lub przepływy pracy MCP nadal ufają i wywołują te punkty końcowe.

Zespół przeprowadził również test ataku wstrzykiwania poleceń opartego na zaufaniu przeciwko Claude Code w połączeniu z Haiku 3.5. W teście złośliwy serwer MCP najpierw żądał nieszkodliwego pliku, a użytkownik przyznał żądanie przy użyciu uprawnienia zawsze‑zezwalającego. Następnie serwer poprosił o wrażliwe pliki, w tym plik a.env, i otrzymał je bez dodatkowego pytania użytkownika. Zarówno Opus 4.6, jak i Opus 4.7 wykryły i zablokowały ten sam atak.

OX Security informuje, że Anthropic scharakteryzowało wynik jako udokumentowane zachowanie po przyznaniu uprawnienia zawsze‑zezwalającego oraz opisało wykrywanie treści złośliwych na poziomie modelu jako heurystykę najlepszych starań, a nie granicę bezpieczeństwa.

Oświadczenia kierownictwa

W komunikacie firmowym ogłaszającym wyniki, Neatsun Ziv, współzałożyciel i dyrektor generalny OX Security, powiedział: „Od dekady przedsiębiorstwa budowały bezpieczeństwo chmury wokół infrastruktury, którą mogły zobaczyć i kontrolować. To, co pokazuje to badanie, to fakt, że agenci AI zaczynają wykraczać poza te granice.” Dodał, że rosnący dostęp, autonomia i uprawnienia agentów sprawiają, że każda osiągalna infrastruktura staje się częścią obrazu bezpieczeństwa, niezależnie od tego, czy przedsiębiorstwo ma nad nią kontrolę.

Moshe Siman Tov Bustan, lider badań w OX Security, powiedział, że walidacja bezpieczeństwa serwerów serwery MCP w rynku okazała się trudniejsza niż oczekiwano, zarówno dla pojedynczych serwerów, jak i dla całej infrastruktury. Sprawdzenie kodu jest możliwe, mówi, lecz wdrożony serwer może działać w innej wersji, a nie ma sposobu, aby dowiedzieć się, kto kontroluje dany serwer, jakie dane zbiera lub co może się zmienić w przyszłych aktualizacjach.

Pełny raport, zawierający metodologię techniczną i scenariusze zagrożeń, jest dostępny na stronie internetowej OX Security.