Yapay zekâ ajanlarını şirket sistemlerine bağlayan Model Context Protocol, doğru yönetilmediğinde kurumsal gizli bilgileri tek bir ara katmanda topluyor ve saldırganlara yeni bir giriş kapısı açıyor. Yapılan son teknik incelemelerde, MCP sunucularının kimlik bilgilerini düz metin halinde saklaması, yetkilerin gereğinden fazla geniş tutulması ve bu sunuculara güvensiz bağlantı kurulması gibi hataların, API anahtarları ve token’lar için ciddi bir risk yarattığı aktarıldı. İnceleme, bu riskin yalnızca veri sızıntısıyla sınırlı kalmadığını, aynı zamanda saldırganın sistem üzerinde işlem yapma yetkisi de kazanabildiğini ortaya koydu.
Anthropic tarafından ilk kez tanıtılan açık standart MCP, bir yapay zekâ asistanının veritabanından kayıt çekmesine, dosya açmasına ya da bir API çağırmasına izin veriyor. Bu işlevi mümkün kılan katman ise MCP sunucusu: AI ile erişmek istediği sistemin arasına giren küçük yazılım. Fakat tam da bu noktada risk büyüyor; çünkü ajan bir sisteme işlem yapabilmek için o sistemin kimlik bilgilerine ihtiyaç duyuyor. Böylece yapay zekâ, yalnızca yanıt üreten bir araç olmaktan çıkıp kurumsal sistemlerde eylem gerçekleştiren bir kimliğe dönüşüyor.
İncelemeye göre, bu dönüşüm sızan tek bir sırrın etkisini de büyütüyor. Bir API anahtarı ya da token ifşa olduğunda, saldırgan yalnızca veriyi görmüyor; o veriye erişme ve onun üzerinde işlem yapma yetkisini de ele geçirebiliyor. Metinde bu kimliklerin Non-Human Identities, yani insan dışı kimlikler olarak anıldığı belirtildi. MCP’nin aktif kimlikler ürettiği, bu nedenle sızan bir gizli bilginin yalnızca veriyi açığa çıkarmadığı, aynı zamanda o veri üzerinde işlem yapma imkânı da verdiği vurgulandı.
Bu yapı içinde en kritik bileşenlerden biri MCP sunucusu olarak tanımlanıyor. Küçük bir yazılım gibi çalışan bu katman, AI ile onun ulaşmak istediği sistem arasında aracı görevi görüyor ve yapay zekâya hangi işlemleri yapabileceğini açıyor. Ancak araya giren bu katman, aynı zamanda sistem kimlik bilgilerini de taşıdığı için en yüksek risk noktası olarak öne çıkıyor. Bir MCP sunucusunun bir sisteme işlem yapabilmesi için o sistemin kimlik bilgilerine ihtiyaç duyması, onu saldırganlar açısından doğrudan hedef haline getiriyor.
Düz metin dosyalar, dağınık kimlikler ve prompt injection
MCP sunucularında en sık görülen sorunlardan biri, erişim belirteçleri ve anahtarların yerel yapılandırma dosyalarına düz metin olarak yazılması. Birçok kurulumda sunucuyu ayağa kaldırmak için kimlik bilgilerinin doğrudan yapılandırma dizesine yapıştırılması gerekiyor. Bu dosya disk üzerinde kaldığında, çoğu zaman gözden kaçıyor, makineler arasında kopyalanıyor ya da yanlışlıkla bir Git deposuna giriyor. Sunucuya erişen bir saldırgan için geride kalan her şey okunabilir hale geliyor. Bu nedenle, bir sunucuda tutulan tek bir dosya bile API anahtarları ve token’lar için açık bir hedefe dönüşebiliyor.
Benzer bir risk, merkezi bir gizli bilgi kasası olmayan ortamlarda ortaya çıkıyor. Her yapay zekâ ajanı kendi kimliğini yönetmeye başladığında, aynı API anahtarları ve token’lar yapılandırma dosyalarına ve çevre değişkenlerine dağılabiliyor. Geliştirme, test ve üretim ortamlarında bunların kopyaları birikiyor. Hangi sırrın nerede tutulduğuna dair tam bir envanter olmadığı için döndürme işlemleri de çoğu zaman yapılmıyor. Böylece yıllarca geçerli kalan statik kimlik bilgileri, saldırganların eline geçtiğinde yeni bir sızıntı noktası oluşturuyor. Kaynak metin, bu dağınıklığın merkezi denetim olmadan büyüdüğünü ve bir kurumun elindeki kimlik bilgilerinin zaman içinde çoğaldığını aktarıyor.
Tüm sızıntılar sisteme zorla girilerek gerçekleşmiyor. Yapay zekâ ajanları kendilerine verilen içerikleri okuyup ona göre hareket ettiği için, saldırganlar bir belgeye, destek kaydına ya da ziyaret edilen web sayfasına gizli komutlar yerleştirebiliyor. Ajan bu talimatları meşru komut sanarak izlediğinde ortaya prompt injection denilen saldırı çıkıyor. Bu yöntemle ajanlar kendi araçlarını yanlış kullanmaya ya da korumaları gereken sırları istemeden vermeye yönlendirilebiliyor. Metin, saldırganın her zaman doğrudan sisteme sızmak zorunda olmadığını, bazen yalnızca ajanın okuduğu içeriği manipüle etmesinin yeterli olduğunu belirtiyor.
Bir diğer sorun da aşırı yetkilendirme. Geliştirme sürecinde hata almamak için MCP sunucusuna çoğu zaman geniş izinler veriliyor ve konu kapatılıyor. Ancak bu tolerans üretime taşındığında, en az ayrıcalık ilkesi devre dışı kalıyor. Böyle bir durumda tek bir uzlaşma, ajanı ihtiyaç duyduğundan çok daha fazlasına erişebilir hale getiriyor. Kaynak, bu geniş yetki modelinin tasarım aşamasında kolaylık sağladığını, fakat üretimde aynı genişliğin korunmasının yeni bir risk yarattığını ifade ediyor.
Kaynakta ayrıca dışarıya açık MCP sunucularının tedarik zinciri riski doğurduğu vurgulandı. Herkes MCP sunucusu yayımlayabildiği için güvenilmeyen bir sunucuya bağlanmak, zarar verebilecek bir bileşene teslim olmak anlamına gelebiliyor. Bu riskin somut bir örneği olarak CVE-2025-6514 gösterildi. 400 binden fazla indirilen ve istemci makine üzerinde çalışan mcp-remote adlı OAuth proxy’sinde, kötü amaçlı bir sunucunun işletim sistemi komut enjeksiyonu tetikleyebildiği, bunun da proxy’nin çalıştığı makinede uzaktan kod çalıştırmaya ve kimlik bilgilerinin çalınmasına kapı aralayabildiği bildirildi. Zafiyet kaydı için: https://nvd.nist.gov/vuln/detail/CVE-2025-6514
mcp-remote örneğinde anlatılan senaryoda, sunucudan gelen kötü amaçlı içerik istemci tarafındaki aracı bile etkileyebiliyor. Kaynak metin, bu tür bir kurulumun yalnızca sunucunun değil, onu kullanan makinenin de risk taşıdığına işaret ettiğini belirtiyor. OAuth proxy’nin istemci makinede çalışması nedeniyle, saldırganın elde edebileceği sonuçlar uzaktan kod çalıştırmaya kadar uzanabiliyor. Bu da güvenilmeyen bir MCP sunucusuna bağlanmanın, zincirin en zayıf halkasını sunucu ile istemci arasındaki o küçük köprüye taşıdığını gösteriyor.
Kurumsal sırlar için yeni yönetim hattı
Teknik inceleme, MCP katmanını korumanın klasik güvenlik yaklaşımından farklı ama aynı derecede sıkı bir disiplin gerektirdiğini söylüyor. İlk adım, kimlik bilgilerini yapılandırma dosyalarından, çevre değişkenlerinden ve kaynak kodundan çıkarmak. Bunları tek bir yönetilen gizli bilgi deposunda toplamak, hem düz metin sızıntılarını hem de dağınık kimlik bilgisi problemini azaltan temel yöntem olarak öne çıkıyor. Böylece ajanlar ihtiyaç duydukları sırları çalışma anında, denetimli tek bir kaynaktan alıyor. Kaynak metin, sırların üretimde ortalıkta dolaşmak yerine kontrol edilen bir noktada tutulmasının MCP katmanındaki dağınıklığı azalttığını aktarıyor.
Bir başka öneri, kısa ömürlü kimlik bilgileri kullanmak ve bunları otomatik döndürmek. Değişmeyen statik sırlar saldırganlar için daha değerli kabul ediliyor; çünkü uzun süre geçerliliklerini koruyorlar. Talep üzerine verilen ve kendiliğinden süresi dolan kimlik bilgilerinin kullanılması, saldırganın elindeki fırsat penceresini daraltıyor. Otomatik döndürme ise bir sızıntı yaşansa bile, ifşa edilen sırın çok kısa sürede işe yaramaz hale gelmesini sağlıyor. Metin, rotasyonun elle değil otomatik yapılmasının önemine işaret ediyor.
En az ayrıcalık ilkesi de MCP ortamında özellikle öne çıkarılıyor. Her yapay zekâ ajanının yalnızca görevini yerine getirmek için gerekli sistemlere ve verilere erişmesi gerektiği belirtiliyor. Aşırı yetkilendirilmiş bir ajan ele geçirilirse zarar alanı genişlerken, dar yetkili bir ajan uzlaşma anında çok daha sınırlı bir yüzey bırakıyor. Kaynağa göre, üretime gereğinden geniş yetkiyle çıkan bir sunucu sonradan çoğu zaman düzeltilmiyor ve bu durum riskin kalıcı hale gelmesine yol açıyor.
Hassas işlemlerde insan onayı da önerilen koruma katmanlarından biri. Maskelenmemiş bir sırrın alınması, bir kaydın silinmesi ya da üretim ortamına erişim gibi adımların açık onay gerektirmesi gerektiği aktarılıyor. Metin, prompt injection girişimlerinin sessizce ciddi bir ihlale dönüşmesini çoğu zaman bu kontrol noktasının engellediğini belirtiyor. Böylece ajan otomatik çalışsa bile, kritik eylemlerde insanın onayı devreye giriyor.
Gizli bilgiler için sıfır güven ve sıfır bilgi modelinin kullanılması da vurgulanan başlıklar arasında. Bu yaklaşımda sırların uçtan uca şifrelenmesi, yalnızca kullanım anında çekilmesi ve platform tarafından okunamaması hedefleniyor. Sıfır bilgi yaklaşımında, kasa ele geçirilse bile saldırganın okuyabileceği bir veri kalmıyor. Bu yöntem, kimlik bilgilerinin saklandığı katmanı sadece depolama alanı olmaktan çıkarıp erişim anında denetlenen bir mekanizmaya dönüştürüyor.
Otonom ajanların hızlı ve doğrudan gözetim olmadan çalışması nedeniyle, yapılan her işlemin kayda alınması ve denetlenmesi de ayrı bir gereklilik olarak sunuluyor. Kim neye erişti, hangi sır ne zaman açıldı, hangi aracın ne amaçla çağrıldığı gibi kayıtlar hem uyumluluk hem de olay sonrası inceleme için temel kabul ediliyor. Kaynak metin, bu kayıtların sonradan ne olduğunu anlamak için değil, aynı zamanda hangi kimliğin hangi işlemde kullanıldığını takip etmek için de gerekli olduğunu aktarıyor.
Son olarak, kurum içindeki MCP sunucularının envanterinin tutulması gerektiği hatırlatılıyor. Görünmeyeni korumak mümkün olmadığı için, ortamda çalışan her MCP sunucusuna dair görünürlük sağlanmasının, gölgede kalan ve denetimden geçen yapay zekâ kimliklerini ortadan kaldırdığı ifade ediliyor. Bu tür kontrolsüz varlıkların canlı kimlik bilgileri tutabildiği ve güvenlik incelemelerinde görünmeyebildiği not ediliyor. Metne göre, bir kurumun elindeki MCP sunucularının tam listesini bilmemesi, o ortamdaki sırların da tam listesini bilememesi anlamına geliyor.
Değerlendirmede, MCP’nin yapay zekâ ajanları ile korunması gereken kurumsal sistemler arasına yeni bir katman eklediği ve bu katmanın doğrudan erişim kimliklerini taşıdığı anlatılıyor. Bu nedenle kuruluşların, üretim sistemlerine uyguladıkları disiplinin aynısını bu katmana da uygulaması gerektiği vurgulanıyor: kimlik bilgilerini merkezileştirmek ve her ajanın nereye ulaşabileceğini sıkı biçimde kontrol etmek. Metinde, bu amaçla kullanılan araçlardan biri olarak Keeper Secrets Manager örnek gösteriliyor; gizli bilgileri varsayılan olarak maskeleyen ve herhangi bir değerin açığa çıkması için onay isteyen bu tip çözümlerin, ajanların kimlik bilgilerini kullanırken onları görünür halde bırakmamasına yardımcı olduğu belirtiliyor. Kaynak, bu yaklaşımın MCP katmanında çalışan sırların yönetimini daha kontrollü hale getirdiğini söylüyor.
Kaynağın sonunda, metnin Ashley D’Andrea tarafından Keeper Security adına kaleme alındığı bilgisi yer aldı. Yazıda ayrıca Google News, Twitter ve LinkedIn üzerinden daha fazla özel içerik için takip çağrısı da bulunduğu aktarıldı.