MCP : la faille d'autorisation qui menace les intégrations IA

Un problème d'autorisation révélé par une expérience personnelle

Un ingénieur backend travaillant dans une startup fintech a récemment partagé une expérience révélatrice concernant l'intégration du Model Context Protocol (MCP) dans leur infrastructure. Après le déploiement d'un agent IA, conçu pour interagir avec divers outils internes tels qu'un CRM, un système de facturation et Slack, une anomalie a été détectée lors d'un audit de sécurité. L'agent IA avait toujours un accès complet en lecture/écriture à un outil qu'il n'avait pas utilisé depuis trois semaines. Cet accès n'avait jamais été révoqué, car le système ne prévoyait pas de mécanisme pour le faire. Bien que cela n'ait pas entraîné de vol de données, cela a mis en lumière un point faible structurel qui apparaît dans presque toutes les intégrations MCP déployées actuellement : la gestion des autorisations est souvent négligée. Un ami de l'auteur a même envoyé un message alarmant commençant par "donc c'est mauvais", soulignant l'urgence de la situation. Ce problème n'était pas un bug dans le code de l'agent IA, mais une faille structurelle dans la conception même de l'autorisation, souvent considérée comme une réflexion après coup.

Comprendre le MCP : une norme en pleine expansion

Le Model Context Protocol (MCP) est une norme qui facilite la communication entre les modèles d'IA et divers outils ou sources de données externes. Il permet aux agents IA de se connecter à des bases de données, des API, et des plateformes SaaS via une interface commune, offrant à tous un langage partagé. Cette standardisation est comparable à l'USB-C, qui a unifié les connecteurs pour les appareils électroniques. Le MCP essaie de faire pour les agents IA ce que l'USB-C a fait pour les appareils électroniques, en simplifiant les connexions. Cependant, tout comme l'USB-C ne demande pas la permission avant de commencer à transférer des données, le MCP présente une faiblesse similaire en négligeant souvent la gestion des autorisations. Grâce à cette simplicité, le MCP a rapidement gagné en popularité, car il évite aux équipes de développement de réinventer la roue pour chaque nouvel agent IA. Cependant, cette facilité d'intégration s'accompagne d'un manque de rigueur dans la gestion des autorisations, un aspect souvent sous-estimé. C'est la conversation que personne n'a encore suffisamment abordée.

Les failles spécifiques du MCP

Le principal problème du MCP réside dans la couche d'autorisation entre l'agent IA et les outils auxquels il accède. Trois problèmes majeurs sont souvent rencontrés :

• Écrans de consentement trop généraux : Lors de la connexion d'un serveur MCP à un agent, les utilisateurs sont souvent confrontés à un simple écran de consentement, autorisant l'accès global à un outil sans détailler les permissions spécifiques, telles que la lecture de calendriers ou l'envoi d'e-mails. Cette approche rappelle les débuts des applications mobiles avant l'introduction de permissions granulaires par Android et iOS.

• Jetons d'accès persistants : Une fois qu'un agent IA obtient un jeton pour accéder à un outil, ce jeton reste actif bien au-delà de la période nécessaire, comme l'a illustré l'exemple du système de facturation. L'absence de mécanismes pour vérifier et révoquer ces jetons entraîne des accès prolongés non désirés.

• Délégation non contrôlée : Théoriquement, un agent IA ne devrait agir que dans le cadre des permissions explicitement accordées. Cependant, dans la pratique, les jetons sont souvent transmis à d'autres outils ou agents sans revalidation, élargissant ainsi involontairement le champ d'action initialement prévu.

Ces problèmes combinés créent un schéma où les agents IA disposent de plus d'accès que prévu, pendant une durée plus longue, et avec moins de supervision. Les équipes copient et collent souvent le même modèle d'authentification léger à travers toutes les connexions, amplifiant ainsi les risques.

Un risque bien réel

Il serait facile de considérer ces problèmes comme des cas isolés, mais l'adoption rapide des agents IA dans les entreprises montre le contraire. Les organisations passent rapidement d'une poignée d'agents pilotes à des dizaines d'agents spécifiques à des tâches intégrés dans de véritables systèmes comme les CRMs et les plateformes RH. Chaque connexion représente une nouvelle poignée de main de style OAuth, et la plupart des équipes copient et collent le même modèle d'authentification léger à travers toutes ces connexions, car c'est ce que le MCP a rendu facile. Ce phénomène se répète à grande échelle, bien plus vite que les processus de sécurité ne peuvent s'adapter.

Des scénarios concrets illustrent ces risques :

• L'intégration oubliée : Une équipe marketing utilise un agent pour une campagne spécifique, mais le jeton d'accès reste actif bien après la fin de la campagne, sans que personne ne s'en aperçoive.

• L'agent en chaîne : Un agent ayant accès à un système de support délègue une tâche à un autre agent, qui finit par avoir un accès plus large que nécessaire.

• Le risque des employés partants : Un employé quitte l'entreprise, mais l'agent qu'il a configuré continue de fonctionner avec les mêmes accès, car les procédures de départ ne couvrent pas encore les permissions des agents IA.

Ces situations ne nécessitent pas d'attaques sophistiquées, mais résultent simplement d'une gestion organisationnelle insuffisante.

Les solutions actuelles et leurs limites

Les équipes adoptent diverses stratégies pour gérer ces problèmes, chacune avec ses propres compromis.

• Confiance dans la plateforme : Certaines équipes se reposent sur le flux d'authentification par défaut proposé par leur serveur MCP. Cette méthode est rapide à mettre en œuvre, mais hérite de toutes les faiblesses mentionnées. Elle peut convenir pour des prototypes, mais est risquée en production.

• Gestion manuelle des portées : Certaines équipes choisissent de définir manuellement les portées d'accès pour chaque agent. Cela offre plus de contrôle, mais nécessite un suivi constant et peut devenir complexe à gérer à grande échelle.

En conclusion, bien que le MCP offre une solution élégante pour l'intégration des agents IA, il est crucial que les entreprises revoient leurs pratiques de gestion des autorisations pour éviter des failles de sécurité potentielles.