Immagine copertina generata con l’intelligenza artificiale
Il protocollo MCP, utilizzato per mettere in comunicazione applicazioni e agenti AI, presenta vulnerabilità che possono facilitare la diffusione di istruzioni malevole all’interno delle reti aziendali. Un’analisi pubblicata da Ars Technica il 5 ottobre 2026 evidenzia come il problema riguardi diverse organizzazioni, tra cui Google, e nasca soprattutto dalla fiducia che un agente ripone nelle informazioni ricevute da un altro. Il rischio è che un singolo punto debole permetta di raggiungere altri sistemi e indurli a compiere azioni non autorizzate.
Che cos’è il protocollo MCP e perché preoccupa
MCP, acronimo di Model Context Protocol, è uno standard che consente ad applicazioni e agenti AI di comunicare tra loro all’interno di una rete. La sua diffusione accompagna la crescita dei sistemi automatizzati, nei quali agenti specializzati collaborano per svolgere attività come l’analisi dei dati e la gestione di operazioni aziendali.
Il problema emerge quando questa collaborazione si basa su meccanismi di fiducia insufficienti. Un agente può ricevere un’istruzione manipolata e inoltrarla a un altro sistema come se fosse una normale richiesta di lavoro. Se il destinatario si fida del mittente e non dispone di adeguate protezioni, può eseguire il comando senza riconoscerne la natura malevola.
Secondo l’analisi, il ricercatore indipendente Syed Anas Mohiuddin ha testato agenti utilizzati da organizzazioni come Google, JPMorgan Chase, Weaviate, Rapid7, dalla direzione interministeriale per il digitale del governo francese e dal governo federale statunitense. Gli attacchi dimostrativi hanno sfruttato le lacune di fiducia tra protocolli e sistemi diversi.
Prompt injection e protocol pivoting: come si propaga l’attacco
La tecnica descritta nell’analisi rientra nella famiglia della prompt injection, ma presenta una particolarità: il bersaglio non è necessariamente il modello linguistico in sé, bensì un agente specializzato che può inoltrare istruzioni dannose ad altri componenti della rete.
Mohiuddin ha definito questo approccio protocol pivoting: un attacco articolato in più passaggi, nel quale un aggressore sfrutta le relazioni di fiducia tra protocolli differenti per ottenere capacità altrimenti non accessibili. Un agente incaricato di un’attività tramite MCP, per esempio, può trasmettere un comando a un altro sistema attraverso il protocollo Agent-to-Agent (A2A) di Google o standard emergenti come l’Agent Network Protocol.
Non tutti i ricercatori condividono la necessità di una nuova definizione. Markus Vervier, ricercatore di X41 D-Sec, considera il fenomeno una forma di prompt injection indiretta. Il punto centrale, in ogni caso, è che le verifiche applicate al singolo protocollo non garantiscono necessariamente la sicurezza dell’intera catena.
Google e Rapid7: le vulnerabilità individuate
Tra i casi esaminati, la vulnerabilità rilevata nell’infrastruttura di Rapid7, identificata come CVE-2026-97228, aveva una valutazione di gravità pari a 2,7 su 10 ed è stata corretta il mese precedente alla pubblicazione dell’articolo.
Più elevato il livello di rischio associato alla falla individuata nel toolbox MCP di Google dedicato ai database, valutata 8 su 10. Il problema riguardava la configurazione del client HTTP, privo di una politica adeguata per gestire i reindirizzamenti, e l’assenza di controlli sugli indirizzi IP di destinazione.
Secondo la ricostruzione del ricercatore, un parametro opportunamente costruito poteva indurre il sistema a seguire un reindirizzamento verso un endpoint interno, effettuando richieste per conto dell’aggressore. Il comportamento rientra nella categoria della server-side request forgery (SSRF), una vulnerabilità che permette di sfruttare un server per inviare richieste di rete non autorizzate.
La correzione di Google ha introdotto liste di indirizzi IP consentiti e bloccati, oltre a controlli per respingere gli URL di base non sicuri già all’avvio. Si tratta di misure che mostrano quanto la sicurezza delle integrazioni debba essere verificata anche a livello di rete.
Come rafforzare la sicurezza degli agenti AI
La diffusione di queste vulnerabilità riporta l’attenzione sul principio zero trust, secondo cui nessun componente della rete deve essere considerato affidabile per impostazione predefinita. Anche le comunicazioni tra agenti interni devono quindi essere sottoposte a verifiche, soprattutto quando coinvolgono operazioni sensibili o l’accesso a dati riservati.
Douglas McKee, responsabile della vulnerability intelligence di Rapid7, ha sottolineato ad Ars Technica che gli agenti AI offrono agli aggressori nuove connessioni da sfruttare. Un contenuto manipolato può essere letto da un agente e inoltrato come una normale attività delegata: il sistema successivo lo esegue perché si fida di chi glielo ha trasmesso.
Per limitare il rischio, gli sviluppatori devono introdurre controlli di autorizzazione prima delle transazioni sensibili, verificare gli input ricevuti e impedire che istruzioni non attendibili si propaghino automaticamente lungo le catene di agenti. Come osserva McKee, qualsiasi contenuto trasferito da un modello linguistico a uno strumento dovrebbe essere trattato come un input proveniente da una fonte esterna non fidata.
Fonte: Ars Technica
