SANS ISC: Saldırganlar MCP sunucularını ve yapay zekâ asistanı kimlik bilgilerini taramaya başladı

Yapay zekâ ajanlarının araçlara bağlanmasını sağlayan Model Context Protocol (MCP) artık saldırganların standart tarama listelerinde. SANS Internet Storm Center (ISC) görevlisi Manuel Humberto Santander Pelaez, 13 Temmuz 2026'da yayımladığı günlükte bu eğilimi somut kayıtlarla ortaya koydu.

Ne gözlendi?

Araştırmacı, üzerinde WordPress, özel uygulamalar ve statik bir site barındıran küçük bir web sunucusunun 14 günlük Apache ve ModSecurity kayıtlarını inceledi. Sunucuda hiçbir yapay zekâ altyapısı bulunmamasına rağmen şu istekler tespit edildi:

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

• /mcp adresine geçerli JSON-RPC 2.0 initialize çağrısı içeren MCP el sıkışmaları ve /sse istekleri
• /.claude/mcp.json, /.cursor/mcp.json, /.vscode/mcp.json gibi asistan yapılandırma dosyaları
• Claude kimlik bilgisi dosyalarına yönelik HEAD istekleri
• Kimlik doğrulamasız LLM uç noktalarını bulmaya yönelik OpenAI uyumlu /v1/models ve Ollama /api/tags sorguları
• Google bulut meta veri servisini hedefleyen SSRF denemeleri

MCP el sıkışma kategorisindeki istekler 49 farklı IP adresinden geldi; MCP, LLM ve yapay zekâ yapılandırmasına yönelik sondalar toplamda yaklaşık 200 istek oluşturdu. Araştırmacı, kimlik bilgisi dosyaları için HEAD kullanılmasını, dosyayı indirmeden önce varlığını kontrol etme girişimi olarak yorumluyor.

Neden önemli?

SANS'a göre bu tablo, saldırganların yapay zekâ altyapısını henüz yaygınlaşmadan hedef listelerine eklediğini gösteriyor. İnternete açık bir MCP sunucusu, ajanın erişebildiği her şeyin makine tarafından okunabilir bir envanteri işlevi görüyor. Web kök dizininde unutulan asistan kimlik bilgisi dosyaları ise doğrudan çalışan anahtarlar anlamına geliyor. Kimlik doğrulamasız yerel LLM'ler de bedava işlem gücü ve olası bir sıçrama noktası sunuyor.

Ne yapılmalı?

• Kayıtlarınızda POST /mcp ve /sse isteklerini arayın; MCP sunucusu çalıştırmıyorsanız bunları keşif olarak değerlendirip engelleyin.
• MCP sunucularında kimlik doğrulamayı zorunlu kılın ve bunları internete açmayın.
• .claude/, .cursor/, mcp.json gibi dosyaların web sunucusu tarafından servis edilmediğini doğrulayın.
• Sunucularınızı dışarıdan /v1/models ve /api/tags uç noktaları için test edin.
• Ajan araçlarındaki fetch benzeri uç noktaların bulut meta veri adreslerine erişimini engelleyin.