Terpapar secara Desain: audit langsung terhadap 414 server MCP yang terhubung ke internet menemukan 68 kerentanan

Pada 31 Juli 2026 Nicolás Padilla menerbitkan Terbuka sejak Desain (arXiv:2608.00150), pracetak 13 halaman yang mendeskripsikan apa yang ia sebut sebagai penilaian keamanan perilaku dinamis pertama terhadap Model Context Protocol server yang menghadap internet. Empat putaran pengukuran pada bulan itu mengonfirmasi 640 server produksi aktif, dan 414 di antaranya diuji secara aktif; pengujian tersebut menghasilkan 68 kerentanan yang dapat dilaporkan, semuanya diajukan kepada pengelola sebagai GitHub Security Advisories. 380 dari 414 — 91,8% — tidak memiliki autentikasi OAuth, dan 687 instans alat mengiklankan eksekusi shell tanpa kontrol akses. Padilla tidak melaporkan bukti bahwa salah satunya sedang dieksploitasi: pengujian tetap pada proof of concept, tidak ada kredensial yang diperoleh dan tidak ada data yang dieksfiltrasi. Daftar sumber lengkap catatan, tingkat keparahan, dan penilaian keyakinan terdapat dalam arsip insiden AI, bersama temuan MCP dan infrastruktur lain yang diajukan di sekitarnya.

Apa yang sebenarnya dilakukan oleh audit tersebut

Model Context Protocol adalah antarmuka yang memungkinkan agen AI memanggil alat yang dihosting di tempat lain — pencarian dokumen, kueri basis data, pembantu shell. Server yang menggunakan protokol ini melalui HTTP dan dapat diakses dari internet pada dasarnya adalah permukaan alat yang dapat dituju siapa saja. Makalah Padilla berpendapat bahwa populasi server semacam itu belum pernah dihitung dengan benar, dan bahwa menghitungnya adalah intinya: penemuan adalah bagian yang sulit, dan setiap survei sebelumnya melihat irisan yang berbeda.

Tahap penemuannya menggabungkan sebelas sumber — crt.sh, Hugging Face, GitHub, npm, Smithery, PyPI, Censys, FOFA, Shodan, glama.ai, dan pulsemcp.com — dengan alasan bahwa tidak ada satu pun dari sumber-sumber itu yang mencakup populasi tersebut. Tahap aktif menggunakan Corvus, kerangka kerja yang dibuat Padilla untuk penelitian ini: 34 modul uji yang mencakup 10 kelas kerentanan khusus MCP, terbagi menjadi 13 statis dan 21 dinamis. Framework ini diterbitkan di GitHub di bawah organisasi CobaltoSec dan di PyPI sebagai cobaltosec-corvus, dan berkas statistik milik repositori itu sendiri mencatat jumlah 34 modul yang sama.

Keempat proses tersebut berlangsung pada 15, 18, 21, dan 24 Juli 2026. Proses sebelumnya hanya menyumbangkan angka konfirmasi; tiga proses terakhir memindai 3.485, 3.948, dan 4.110 kandidat serta mengonfirmasi masing-masing 140, 464, dan 296 server aktif. Deduplikasi terhadap 972 observasi mentah dengan 332 kemunculan berulang menyisakan 640 server terkonfirmasi unik, di mana 414 — 64,7% — menerima pengujian dinamis penuh. Padilla menganggap 640 sebagai batas bawah. Censys, salah satu sumber penemuan, telah memperkirakan lebih dari 21.000 endpoint terkait MCP di seluruh dunia pada Mei 2026, dan ia menggunakan angka itu sebagai estimasi skala, bukan sebagai jumlah dari apa yang ia uji.

Jika dibaca sebagai corong, angka-angka itu merupakan argumen sesungguhnya dari makalah ini: proses luas dan murah menemukan kandidat lebih cepat daripada yang dapat diuji oleh proses yang cermat. Hanya 414 dari 640 server yang dikonfirmasi yang diuji sepenuhnya, dan Padilla tidak mengklaim bahwa subset yang diuji menyerupai bagian yang belum diuji.

Apa yang ditemukannya

Temuan utama adalah autentikasi, atau ketiadaan autentikasi. Dari 414 server yang diuji, 380 (91,8%) tidak memiliki OAuth. Makalah tersebut menyatakan bahwa sebagian besar sisanya menggunakan bearer token statis atau kunci API, yang sering kali dapat diprediksi atau kosong — server yang menerima string tetap juga tidak terautentikasi secara bermakna. Karena audit hanya menguji server yang dapat dijangkau publik tanpa kredensial, angka ini menggambarkan populasi yang terekspos secara konstruksi; ini bukan estimasi untuk server MCP secara umum.

68 temuan yang dapat dilaporkan terbagi berdasarkan kelas, dan jumlah per kelas saling tumpang tindih, bukan mempartisi total: 380 kekurangan autentikasi, 52 penerimaan fuzzing protokol, 47 peracunan alat, 38 injeksi perintah, 31 bypass skema, 29 pemalsuan permintaan sisi server, 24 manipulasi URI sumber daya, 22 injeksi prompt, 18 paparan token, dan 14 indikator rantai pasok. Modul denial-of-service telah ditulis tetapi sengaja tidak dijalankan terhadap server produksi, yang dikecualikan Padilla dengan alasan etis. Keempat jenis kerentanan yang disebutkan dalam abstrak — injeksi SQL, SSRF terhadap layanan metadata cloud, injeksi templat prompt, dan path traversal melalui manipulasi kursor — masing-masing muncul di dalam kelas-kelas tersebut.

Angka eksekusi shell memerlukan satu catatan yang tidak diselesaikan makalah. Di bagian hasilnya, 687 instans alat dengan eksekusi shell dan tanpa autentikasi dihitung di seluruh kumpulan 640 server yang terkonfirmasi. Dalam pembahasan, angka yang sama diperkenalkan dengan kata "dari 414 server yang diaudit secara dinamis" dan kemudian merujuk pada "kumpulan terkonfirmasi yang lebih luas". Kedua kerangka tidak sepakat, dan makalah tidak pernah memberikan jumlah total alat untuk server yang diuji, sehingga 687 tidak dapat diubah menjadi persentase.

Churn adalah temuan yang paling mengubah cara angka-angka itu seharusnya dibaca. Dari 464 server yang dikonfirmasi pada 21 Juli, 193 — 41,6% — sudah tidak ada saat proses keempat memeriksa tiga hari kemudian. Sembilan dari 41 server yang membawa temuan KRITIS juga telah hilang. Padilla menafsirkan ini sebagai deployment tanpa peninjauan; ini juga berarti temuan yang dikonfirmasi pada Senin mungkin tidak memiliki pemilik untuk menambalnya pada Kamis.

Ketiga studi kasus, dan apa yang dapat diperiksa

Tiga temuan ditulis secara terperinci, masing-masing dengan pengenal Security Advisory GitHub. Sebuah injeksi SQL di lectorium-corpus-mcp (GHSA-m8qh-p8m5-8c48, dinilai CRITICAL) dikonfirmasi dengan payload ' OR 1=1 -- dan perbedaan ukuran respons, tanpa ada konten dokumen yang dibaca atau disimpan. Sebuah SSRF di epwforge (GHSA-r9fx-qwmc-rvx3, HIGH) dikonfirmasi melalui pengukuran waktu: 11,9 detik terhadap alamat metadata internal dibandingkan dengan baseline 0,3 detik, tanpa ada konten respons metadata yang disimpan. Injeksi templat prompt di frootai (GHSA-5h8f-r9g8-5w5p, HIGH) melengkapi rangkaian ini.

Dua dari tiga dapat diperiksa secara langsung. Pada 30 Oktober 2026, dua halaman advisory pertama tersedia secara publik di repositori advisory CobaltoSec, keduanya diterbitkan pada 20 Agustus 2026, keduanya masih mencantumkan "Versi yang ditambal: Tidak ada" dan tidak ada CVE. Yang ketiga, GHSA-5h8f-r9g8-5w5p, tidak ditemukan di alamat tersebut. Repositori CobaltoSec mencantumkan 46 advisory terbit pada tanggal yang sama, mencakup server MCP dan perkakas AI terkait; makalah tersebut menghitung 19 sebagai diungkapkan secara publik dan 49 masih di bawah embargo saat makalah itu ditulis. Sebuah artefak pemindaian untuk frootai bertanggal 28 Juli 2026 berada di repositori Corvus, jadi pengujian tersebut terjadi; hanya advisory-nya yang tidak terlihat.

Proses pengungkapan itu sendiri dijelaskan secara garis besar, bukan secara rinci. Semua 68 temuan disampaikan kepada para maintainer melalui GitHub Security Advisories privat di bawah embargo terkoordinasi selama 90 hari, dan ketika pelaporan privat tidak tersedia, Padilla justru membuka issue repositori publik. Makalah tersebut melaporkan secara anekdot bahwa sebagian maintainer menambal dalam waktu 24 jam, sebagian lagi tidak menjawab selama beberapa minggu, dan sebagian repositori ditinggalkan. Makalah itu tidak memberikan jumlah maintainer yang dihubungi maupun tabel tingkat respons, dengan menyatakan bahwa hal-hal tersebut akan dilaporkan secara lengkap pada saat penyerahan.

Apa yang tidak ditetapkan oleh makalah

Exposed by Design adalah preprint dengan penulis tunggal. arXiv mencantumkan versi 1, yang diserahkan pada 31 Juli 2026, tanpa rujukan jurnal dan tanpa pernyataan tinjauan sejawat. Arsip memberi tingkat kepercayaan catatan itu B — terdokumentasi, tetapi dari satu sumber — dan tingkat tersebut berlaku untuk keseluruhan tulisan ini: setiap angka di atas berasal dari makalah Padilla atau dari artefak yang ia publikasikan, bukan dari pengukuran independen.

Tampaknya belum ada ruang redaksi independen yang memberitakan penelitian tersebut. Liputan memang ada — sebuah analisis yang ditulis AI di forkast.news, unggahan di LinkedIn dan Medium, sebuah blog keamanan berbahasa Mandarin, sebuah penjelasan berbahasa Jepang — tetapi semuanya memparafrasekan preprint itu tanpa mewawancarai penulisnya, memeriksa advisori, atau menambahkan data. Liputan turunan bukanlah konfirmasi.

Padilla sendiri menyatakan batasan-batasannya, dan batasan itu sangat spesifik. Hanya transport HTTP yang diuji; server stdio, kasus lokal yang umum, berada di luar cakupan. Discovery bersifat best-effort, sehingga 640 adalah batas bawah. 226 server terkonfirmasi yang tidak diuji sepenuhnya dikecualikan karena respons 403, reset koneksi, balasan JSON-RPC yang tidak sesuai, atau sekadar offline, dan makalah tersebut menyatakan bias seleksi yang dihasilkan tidak dapat dibatasi. Deteksi bertumpu pada heuristik — timing oracle, respons diferensial, inspeksi skema — tanpa benchmark berlabel dan tanpa presisi atau recall yang dipublikasikan untuk 34 modul. Churn yang ia dokumentasikan melemahkan validitas temporal temuan individual. Dan seorang peneliti tunggal yang melakukan verifikasi manual menimbulkan risiko bias konfirmasi yang ia sebutkan dan tidak ia kuantifikasi.

Apa yang berubah setelah

Hasil praktis sejauh ini adalah alat tersebut dan aliran advisori. Corvus dapat dipasang dan didokumentasikan, dan repositori advisori CobaltoSec memuat 46 entri terbitan pada 30 Oktober 2026, dibandingkan dengan 19 pengungkapan publik yang dihitung makalah tersebut pada akhir Juli. Dua studi kasus milik makalah itu sendiri masih tidak menyertakan versi yang telah ditambal — untuk server-server tersebut, pengungkapan telah menghasilkan catatan publik, tetapi belum menghasilkan perbaikan.

Bagi para defender, bagian yang berguna dari studi ini adalah metodenya, bukan sorotan utamanya. Angka 91,8% yang diambil hanya dari server yang menjawab tanpa kredensial menyampaikan sesuatu yang sempit tetapi nyata: sebagian besar dari yang terekspos memang tidak pernah dikunci, dan pergantian selama tiga hari menunjukkan bahwa banyak dari mereka disiapkan untuk demo, prototipe, atau pengujian dan tidak pernah diperkeras. Yang tidak dapat dikatakan oleh makalah ini adalah apakah hal yang sama berlaku untuk server MCP yang benar-benar diandalkan organisasi, karena server-server tersebut tidak pernah masuk dalam sampel.