MCP 서버 보안: 반드시 알아야 할 6가지 중요 취약점 (OWASP GenAI 가이드)
MCP 서버는 전통적인 API 위험과 AI 특유의 위협을 결합한 독특한 공격 표면을 노출합니다. OWASP GenAI가 식별한 6가지 중요 취약점인 도구 포이즈닝, 러그 풀, 코드 인젝션, 자격증명 유출, 과도한 권한, 불충분한 격리에 대해 알아보세요....
7 분 읽기
MCP Security
AI Security
+3
표준 MCP 라이브러리는 보안에 취약한 구현을 초래할 수 있습니다
OpenAPI나 GraphQL용으로 자동 서버 코드를 생성하는 표준 라이브러리들은 실제 환경에 필요한 강력한 보안 기능을 제공하지 않는 경우가 많습니다. 대부분의 도구는 데모나 빠른 프로토타입 제작용으로 설계되어 있어, 기업에서 요구하는 안전하고 신뢰할 수 있는 시스템에는 적합하지 않습니다. 이런 라이브러리로 MCP 서버를 만들면 중요한 기능이 적절한 보호 없이 노출될 수 있습니다.
가장 큰 위험 중 하나는 공개 소스에서 바로 가져온 코드를 실행하는 것입니다. NPX나 UVX 같은 도구는 개발자가 npm에서 직접 패키지를 실행할 수 있게 하고, Python의 pip도 마찬가지입니다. 이는 충분히 검증되지 않은 코드를 실행하게 되어, 공격자가 악성 소프트웨어를 몰래 심을 수 있습니다. NodeJS와 Python 모두에서 공격자가 인기 패키지에 악성 코드를 추가해 상당한 피해가 발생하기도 했습니다.
서버 측에서 중요한 보호 장치—사용자 신원 확인, 권한 관리, 활동 추적 등—가 자주 누락되거나 너무 늦게 추가됩니다. 자동 생성된 서버들 중 상당수는 호출자나 권한을 제대로 체크하지 않아 중요한 기능이 무방비로 노출됩니다. 로그, 접근, 권한과 같은 IT 규칙이 제대로 마련되어 있지 않으면 작은 실수나 공격 한 번에 민감한 데이터나 제어권이 잘못된 사람에게 넘어갈 수 있습니다.
API 래핑은 외부에 시스템을 더 많이 노출시켜 공격 위험을 높이기도 합니다. 입력값 검증 부족, 악의적 데이터 방어 미비, 호출 횟수 제한 부재 등 다양한 문제가 발생할 수 있습니다. 표준 라이브러리에만 의존해서는 시스템을 안전하게 지키기 어렵습니다.
