Un assistant IA qui répond à des questions est une chose. Un agent qui lit vos e-mails, crée des tickets, modifie des fichiers, interroge la base clients ou exécute des commandes en est une autre. Le protocole MCP (Model Context Protocol), devenu le standard de fait pour brancher des outils sur les assistants IA, a rendu ces connexions très simples. Trop simples, parfois : 2026 a vu se multiplier les failles dans les serveurs MCP et les premières attaques qui les détournent. Voici les risques concrets et les règles pour garder la maîtrise.
L’essentiel en 30 secondes
- Un serveur MCP donne à un assistant IA l’accès à un outil (messagerie, fichiers, base de données, terminal) avec les droits du compte configuré.
- L’IA ne distingue pas toujours vos instructions de celles cachées dans un contenu qu’elle lit : un agent qui peut agir peut donc être manipulé pour agir.
- Le Cloud Security Alliance a recensé en mai 2026 une série de failles graves dans l’écosystème MCP, et le ver « Mini Shai-Hulud » a injecté de faux serveurs MCP dans les postes de développeurs.
- Règles clés : inventaire, liste autorisée, moindre privilège, validation humaine des actions sensibles, isolation et journalisation.
Comment fonctionne MCP
L’application d’IA (assistant de bureau, éditeur de code, plateforme d’agents) joue le rôle de client. Chaque serveur MCP expose des outils décrits en langage naturel : « lire les e-mails », « créer un fichier », « exécuter une requête SQL ». Le modèle choisit quel outil appeler et avec quels paramètres. Un serveur peut tourner localement (lancé comme un programme sur le poste) ou à distance (service web).
Conséquence directe : installer un serveur MCP revient à installer un logiciel qui s’exécute avec vos droits, et à confier à un modèle la décision de l’utiliser.
Les risques concrets
| Risque | Scénario |
|---|---|
| Injection d’instructions | Un e-mail ou une page web contient des instructions cachées ; l’agent qui le lit les exécute avec ses outils (voir prompt injection) |
| Empoisonnement d’outil | La description d’un outil contient des consignes malveillantes que le modèle suit |
| Changement silencieux (« rug pull ») | Un serveur approuvé est mis à jour et change de comportement après coup |
| Interférence entre serveurs | Un serveur malveillant influence l’usage des outils d’un autre serveur légitime |
| Exécution de commandes | Le transport local (STDIO) lance des commandes sur le système ; une configuration piégée suffit à exécuter du code |
| Droits excessifs | Jeton d’accès avec droits d’écriture sur toute la messagerie ou tous les dépôts, alors que la lecture d’un dossier suffisait |
| Absence d’authentification | Serveur MCP distant accessible sans contrôle d’accès |
Une grille simple, popularisée en 2025 par le développeur Simon Willison, aide à repérer les situations dangereuses : le risque devient critique quand un même agent combine l’accès à des données privées, l’exposition à du contenu non fiable et la capacité de communiquer vers l’extérieur. Retirez au moins l’un des trois.
Ce que 2026 a montré
- Mai 2026, Cloud Security Alliance : une note de recherche décrit des failles graves dans des produits intégrant MCP (inspecteur MCP, éditeurs de code, plateformes comme LiteLLM ou LibreChat) et souligne des défauts de conception : exécution de commandes via le transport local sans validation, autorisation OAuth optionnelle, absence de protection native contre l’empoisonnement d’outils. Un balayage de juillet 2025 avait déjà trouvé au moins 1 862 serveurs MCP publics répondant sans authentification.
- Mai 2026, ver « Mini Shai-Hulud » : cette attaque de la chaîne d’approvisionnement npm et PyPI a compromis 172 paquets en 48 heures. Une de ses variantes ajoutait des serveurs MCP malveillants dans la configuration des assistants et éditeurs installés sur les postes de développeurs, et volait les clés d’API des fournisseurs d’IA. Voir dépendances open source vulnérables.
Les règles de gouvernance
- Inventorier les serveurs MCP utilisés, y compris sur les postes des développeurs (fichiers de configuration des assistants de bureau et des éditeurs de code).
- Autoriser explicitement : une liste de serveurs approuvés, de sources connues, avec versions épinglées ; toute modification de configuration est revue.
- Moindre privilège : un compte ou un jeton dédié par serveur, en lecture seule par défaut, limité aux dossiers, boîtes ou tables nécessaires.
- Validation humaine pour toute action irréversible ou sortante : envoi d’e-mail, suppression, paiement, publication, exécution de commande.
- Isolation : serveurs locaux dans des conteneurs ou bacs à sable, sans accès aux identifiants de l’hôte ; flux réseau sortants limités.
- Authentification obligatoire pour tout serveur MCP distant (OAuth avec des portées restreintes).
- Journalisation de chaque appel d’outil : quel agent, quel outil, quels paramètres, quel résultat.
- Revue périodique : retirer les serveurs inutilisés, renouveler les jetons.
Ces règles s’inscrivent dans la politique d’usage de l’IA de la structure : voir IA locale ou IA dans le cloud et, pour les API exposées aux agents, sécuriser une API REST.
Questions fréquentes
Faut-il interdire MCP ?
Non, mais l’encadrer. Les gains de productivité sont réels ; l’enjeu est de savoir quels outils sont connectés, avec quels droits, et qui valide les actions.
Un serveur MCP officiel d’un grand éditeur est-il sûr ?
Il est plus probablement maintenu et corrigé, mais il reste exposé aux injections d’instructions venues des contenus qu’il lit. Les droits accordés restent votre responsabilité.
Comment repérer un serveur MCP ajouté à mon insu ?
Surveillez les fichiers de configuration des assistants et éditeurs (création ou modification), les processus enfants inattendus lancés par ces applications et leurs connexions réseau inhabituelles.
Les agents « autonomes » sont-ils adaptés à une PME ?
Pour des tâches en lecture et de préparation (synthèse, brouillon, tri), oui. Pour des actions engageantes, gardez un humain dans la boucle.
Sources
- Cloud Security Alliance, « MCP Security Crisis: Systemic Design Flaws in AI Agent Infrastructure », mai 2026.
- Cloud Security Alliance, « Mini Shai-Hulud: npm Worm Targets AI Developer Tooling », mai 2026.
- Simon Willison, « The lethal trifecta for AI agents », juin 2025.
- Model Context Protocol, spécification et bonnes pratiques de sécurité.
- OWASP GenAI Security Project.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous vous aidons à encadrer l’usage des agents IA lors d’une consultation. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
