AI MCP biztonsági vizsgálat és penetrációs teszt

A Makay Kiberbiztonsági Kft. MCP biztonsági vizsgálata feltárja, hogyan használhatók visszaélésre az AI-ügynökök eszközei, adathozzáférései és jogosultságai. A Model Context Protocol (MCP) az AI-alkalmazásokat vállalati rendszerekkel köti össze: ezért egy manipulált bemenet következménye jogosulatlan művelet vagy adatszivárgás is lehet.

Az MCP penetrációs teszt során az AI-alkalmazás, az MCP-kliens, a szerver és a kapcsolódó API-k közötti teljes műveleti láncot vizsgáljuk. Ellenőrizzük, hogy a hozzáférési korlátok és jóváhagyások támadói utasítások mellett is érvényesülnek-e.

Mit vizsgálunk az MCP-integrációkban?

• Prompt injection és tool poisoning: külső tartalmakba, eszközleírásokba vagy eszközválaszokba rejtett utasítások; az AI-ügynök műveleteinek eltérítése.
• Hitelesítés és jogosultságkezelés: OAuth- és tokenkezelés, jogosultságkiterjesztés, felhasználók és bérlők elkülönítése, emberi jóváhagyás megkerülése.
• Adatvédelem és eszközbiztonság: adatszivárgás, titkok és API-kulcsok kitettsége, parancsinjektálás, SSRF és jogosulatlan fájlhozzáférés.
• Üzemeltetési kontrollok: MCP-szerverek és függőségek megbízhatósága, sandbox, hálózati kimenő forgalom, naplózás és erőforrás-korlátok.

Hogyan teszteljük az AI-rendszer bizalmi határait?

A felmérést az architektúra, az adatáramlások és a jogosultságok áttekintésével kezdjük. A teszteseteket az MCP Security Testing Guide alapján választjuk ki, figyelembe véve az OWASP MCP Top 10 kockázatait és az OWASP MCP Security Cheat Sheet ajánlásait. A vizsgálati körhöz rögzítjük a felhasznált útmutató verzióját és a releváns teszteseteket.

Kézi támadási forgatókönyveket célzott technikai ellenőrzésekkel kombinálunk. Például megvizsgáljuk, rávehető-e az ügynök egy külső dokumentumba rejtett utasítással bizalmas adatok lekérésére és továbbítására. Előre egyeztetett környezetben, tesztadatokkal ellenőrizzük a teljes támadási láncot és a védelmi kontrollok tényleges működését.

Mit kap a vizsgálat végén?

A vizsgálatok eredményét egy üzleti hatásvizsgálatot, kihasználási előfeltételeket, reprodukálható bizonyítékokat és rangsorolt javítási javaslatokat tartalmazó jelentésben ismertetjük. Célunk, hogy a fejlesztők és üzemeltetők egy olyan helyzetleírást kapjanak, amivel a lehető legkevesebb erőforrásbefektetéssel javíthatják a beazonosított sérülékenységeket.

A vizsgálat bevezetés előtt, új MCP-integráció bekötésekor vagy az AI-ügynök jogosultságainak bővítésekor is kérhető. A javításokat egyeztetett visszaellenőrzés követheti.

Árajánlatkérés AI MCP biztonsági vizsgálatra és penetrációs tesztre

Keresse auditor kollégáinkat az Árajánlat gombbal, és kérjen tájékoztatást az Ön által üzemeltetett rendszerek fenyegetettségéről!

Kapcsolódó szolgáltatások és termékek