Säkerhet i MCP: allt du behöver veta

En MCP-server får ofta tillgång till känsliga system: bokföring, kundregister, källkod, e-post. Att köra vilken server som helst är därför riskabelt — inte främst för själva protokollets skull, utan för att MCP effektivt gör din AI-modell till en agent med rättigheter.

Hotmodell

Tre klasser av hot dominerar: (1) skadlig kod i själva servern, (2) prompt injection som får modellen att missbruka legitima verktyg, och (3) för breda rättigheter så att en godartad bugg blir en katastrof.

Verifiera källan

• Installera bara servrar från namngivna organisationer eller etablerade utvecklare.
• Föredra paket med hög download-frekvens och aktiv underhåll.
• Lås version — undvik latest i produktion.
• Använd kataloger med verifieringsprocess (som MCPKatalogen.se) för att hitta seriösa alternativ.

OAuth 2.1 och scopes

Fjärranslutna MCP-servrar bör alltid stödja OAuth 2.1 med PKCE. Anropande klient får då en användarspecifik token med tydligt avgränsade scopes. Undvik long-lived personal access tokens där det går — de blir ofta liggande i configfiler och synkas till fel maskiner.

Prompt injection och tool poisoning

MCP-tools returnerar text som modellen läser. Om textinnehållet kommer från användargenererat innehåll (issues, e-post, webbsidor) kan det innehålla instruktioner som försöker kapa modellen. Två motmedel: begränsa vilka verktyg som kan anropa varandra i kedja, och markera icke-betrodd text tydligt i svaret så att modellen behandlar den som data.

RLS och dataisolering

Bygger du egna MCP-servrar mot en flerkunds-databas: kör dem alltid med användarens session, aldrig med admin-nyckel. Row Level Security i Postgres är ditt bästa skydd mot att en modell råkar läsa fel kunds data.

Säkerhetschecklista

1. Verifiera ursprung och underhållsstatus innan installation.
2. Använd OAuth 2.1 för fjärrservrar; personal tokens roteras kvartalsvis.
3. Ge minsta möjliga scopes — börja read-only.
4. Aktivera RLS och testa policies mot inloggade och anonyma användare.
5. Logga alla verktygsanrop; larma vid onormala mönster.
6. Håll SDK och beroenden uppdaterade — övervaka CVE-flödet.