설계상 노출: 인터넷에 노출된 414개의 MCP 서버를 실시간 감사한 결과 68개의 취약점이 발견됨

에 2026년 7월 31일니콜라스 파디야가 발표한 Exposed by Design(arXiv:2608.00150)은 13페이지 분량의 프리프린트이며, 그가 인터넷에 노출된 Model Context Protocol 서버에 대한 첫 번째 동적 행동 보안 평가라고 부르는 내용을 설명합니다. 그달의 네 차례 측정 실행에서 확인된 640개의 라이브 프로덕션 서버 중 414개가 실제로 테스트되었으며, 테스트에서는 68개의 보고 가능한 취약점이 산출되었고, 모두 GitHub Security Advisories로 관리자에게 제출되었습니다. 414개 중 380개 — 91.8% — 는 OAuth 인증이 없었고, 687개의 도구 인스턴스가 접근 제어 없이 셸 실행을 표방했습니다. 파디야는 그중 어느 것도 악용되고 있었다는 증거를 보고하지 않았습니다. 테스트는 개념 증명 단계에 머물렀고, 자격 증명은 획득되지 않았으며 데이터도 유출되지 않았습니다. 기록의 전체 출처 목록, 심각도 등급 및 신뢰도 평가는 AI 사고 아카이브에 있으며, 그 주변에 제출된 다른 MCP 및 인프라 발견 사항과 함께 있습니다.

감사가 실제로 한 일

Model Context Protocol은 AI 에이전트가 다른 곳에 호스팅된 도구 — 문서 검색, 데이터베이스 쿼리, 셸 헬퍼 — 를 호출할 수 있게 해 주는 인터페이스입니다. HTTP를 통해 이 프로토콜을 사용하고 인터넷에서 접근할 수 있는 서버는 사실상 누구나 주소를 지정해 접근할 수 있는 도구 표면입니다. Padilla의 논문은 그러한 서버의 전체 집단이 제대로 집계된 적이 결코 없었으며, 바로 그 집계가 핵심이라고 주장합니다. 발견이 어려운 부분이고, 이전의 모든 조사는 서로 다른 단면을 들여다봤기 때문입니다.

그의 발견 단계는 열한 개 출처 — crt.sh, Hugging Face, GitHub, npm, Smithery, PyPI, Censys, FOFA, Shodan, glama.ai 및 pulsemcp.com — 를 병합했으며, 그 근거는 그중 어느 하나도 전체 집단을 포착하지 못한다는 논리였다. 활성 단계에서는 다음을 사용했다: Corvus라는 Padilla가 이 연구를 위해 구축한 프레임워크에는 MCP에 특화된 10개 취약점 클래스를 다루는 34개 테스트 모듈이 있으며, 13개 정적 모듈과 21개 동적 모듈로 나뉜다. 이는 CobaltoSec 조직 산하의 GitHub와 PyPI에 게시되어 있으며, 그 이름은 cobaltosec-corvus이고, 저장소 자체의 통계 파일에도 동일한 34개 모듈 수가 기록되어 있다.

네 번의 실행은 2026년 7월 15일, 18일, 21일 및 24일에 이루어졌다. 앞선 실행들은 확인 수치만 제공했다; 마지막 세 번의 실행은 각각 3,485개, 3,948개, 4,110개의 후보를 스캔했고, 각각 140개, 464개, 296개의 활성 서버를 확인했다. 332개의 반복 등장이 포함된 972개의 원시 관측값을 중복 제거한 결과 640개의 고유 확인 서버가 남았으며, 그중 414개(64.7%)가 전체 동적 테스트를 수용했다. 파디야는 640을 하한으로 간주한다. 발견 소스 중 하나인 Censys는 2026년 5월 전 세계적으로 21,000개가 넘는 MCP 관련 엔드포인트가 있을 것으로 추정했으며, 그는 이를 자신이 테스트한 대상의 개수로 보기보다는 규모 추정치로 사용한다.

깔때기 구조로 읽으면, 이 수치들이 이 논문의 진짜 논증이다. 폭넓고 값싼 탐색은 신중한 검증이 후보를 시험할 수 있는 속도보다 더 빠르게 후보를 찾아낸다. 확인된 서버 640대 중 완전히 시험된 것은 414대뿐이며, Padilla는 시험된 하위 집합이 시험되지 않은 나머지와 비슷하다고 주장하지 않는다.

무엇을 발견했나

핵심 발견은 인증, 즉 인증의 부재입니다. 테스트한 414개 서버 중 380개(91.8%)에는 OAuth가 없었습니다. 논문에 따르면 나머지 대부분은 정적 bearer 토큰이나 API 키를 사용했으며, 흔히 예측 가능하거나 비어 있었습니다. 고정 문자열을 받아들이는 서버 역시 의미 있는 인증이 이루어지지 않는 것입니다. 이번 감사는 자격 증명 없이 공개적으로 접근 가능한 서버만 테스트했기 때문에, 이 수치는 구조상 노출된 모집단을 설명합니다. 일반적인 MCP 서버에 대한 추정치는 아닙니다.

신고 대상 68건의 발견 사항은 분류별로 나뉘며, 분류별 집계는 총계를 분할하는 대신 서로 중복된다. 인증 결함 380건, 프로토콜 퍼징 수용 사례 52건, 도구 중독 47건, 명령 주입 38건, 스키마 우회 31건, 서버 측 요청 위조(SSRF) 29건, 리소스 URI 조작 24건, 프롬프트 주입 22건, 토큰 노출 18건, 공급망 지표 14건이다. 서비스 거부(DoS) 모듈은 작성되었으나 운영 서버를 대상으로는 의도적으로 실행되지 않았으며, Padilla는 윤리적 이유로 이를 배제한다. 초록에서 명시된 네 가지 취약점 유형, 즉 SQL 주입, 클라우드 메타데이터 서비스에 대한 SSRF, 프롬프트 템플릿 주입, 커서 조작을 통한 경로 순회는 각각 해당 분류들 안에 나타난다.

셸 실행 관련 수치에는 논문이 해결하지 못한 한 가지 주의점이 필요하다. 결과 섹션에서는 셸 실행 기능이 있으나 인증이 없는 687개의 도구 인스턴스가 확인된 640개 서버 풀 전체에서 집계된다. 논의 섹션에서는 같은 수치가 “414개의 동적 감사 서버 중”이라는 표현으로 소개된 뒤 “더 광범위한 확인된 집합”을 가리키는 데 사용된다. 두 가지 서술 방식은 서로 일치하지 않으며, 논문은 테스트된 서버의 총 도구 수를 제시하지 않으므로 687을 백분율로 바꿀 수 없다.

이탈(churn)은 수치를 읽는 방식을 가장 크게 바꾸는 발견 항목입니다. 7월 21일 확인된 464대의 서버 중 193대(41.6%)는 3일 뒤 네 번째 실행에서 확인했을 때 사라져 있었습니다. CRITICAL 발견 항목이 있는 41대의 서버 중 9대도 역시 사라졌습니다. Padilla는 이를 검토 없는 배포로 해석합니다. 이는 또한 월요일에 확인된 발견 항목이 목요일까지 패치할 담당자가 없을 수도 있음을 의미합니다.

세 가지 사례 연구와 확인할 수 있는 사항

세 가지 발견 사항은 각각 GitHub Security Advisory 식별자와 함께 자세히 문서화되어 있습니다. SQL 인젝션은 lectorium-corpus-mcp에서 (GHSA-m8qh-p8m5-8c48, CRITICAL 등급) 페이로드 ' OR 1=1 -- 및 응답 크기 차이로 확인되었으며, 문서 내용은 읽거나 보관되지 않았습니다. SSRF는 epwforge에서 (GHSA-r9fx-qwmc-rvx3, HIGH) 타이밍으로 확인되었습니다: 내부 메타데이터 주소에 대해서는 11.9초였고 기준값은 0.3초였으며, 메타데이터 응답 내용은 저장되지 않았습니다. 프롬프트 템플릿 인젝션은 frootai에서 (GHSA-5h8f-r9g8-5w5p, HIGH) 이 세트를 완성합니다.

셋 중 둘은 직접 확인할 수 있습니다. 2026년 10월 30일에 첫 두 권고 페이지는 CobaltoSec의 권고 저장소에서 공개적으로 확인되었고, 둘 다 2026년 8월 20일에 게시되었으며, 여전히 "패치된 버전: 없음"으로 표시되고 CVE도 없습니다. 세 번째인 GHSA-5h8f-r9g8-5w5p는 해당 주소에서 찾을 수 없음을 반환했습니다. CobaltoSec의 저장소에는 같은 날짜에 공개된 46개의 권고가 나열되어 있었으며, MCP 서버 및 인접 AI 도구를 다루고 있었습니다. 논문은 작성 당시 19개를 이미 공개된 것으로, 49개를 여전히 엠바고 상태로 집계했습니다. 다음 항목에 대한 스캔 아티팩트가 하나 있습니다: frootai. 해당 아티팩트는 2026년 7월 28일자로 Corvus 저장소에 있습니다. 따라서 테스트는 이루어졌지만, 권고만 보이지 않습니다.

공개 절차 자체는 자세히 설명하기보다 개요 수준으로 서술되어 있다. 68건의 발견 사항은 모두 90일 조정 비공개(embargo) 기간 아래 비공개 GitHub Security Advisories를 통해 관리자들에게 전달되었고, 비공개 보고가 불가능한 경우에는 Padilla가 대신 공개 저장소 이슈를 제기했다. 논문은 일화적으로 일부 관리자는 24시간 이내에 패치했지만 다른 이들은 수 주 동안 응답하지 않았으며 일부 저장소는 방치되었다고 보고한다. 접촉한 관리자 수나 응답률 표는 제시하지 않으며, 제출 시점에 전부 보고하겠다고 밝힌다.

논문이 입증하지 않는 것

Exposed by Design은 단일 저자 프리프린트입니다. arXiv에는 2026년 7월 31일 제출된 버전 1이 등재되어 있으며, 저널 참조나 동료 검토 진술은 없습니다. 아카이브는 해당 기록의 신뢰도를 B로 평가하는데, 이는 문서화되었으나 단일 출처에 기반한다는 뜻입니다. 그리고 이 등급은 이 글 전체에 적용됩니다. 위의 모든 수치는 Padilla의 논문 또는 그가 공개한 아티팩트에서 비롯된 것이지, 독립적인 측정에서 나온 것이 아닙니다.

어떤 독립 뉴스룸도 이 연구를 보도한 것으로 보이지 않는다. 보도는 존재한다. forkast.news의 AI가 작성한 분석, LinkedIn 및 Medium 게시물, 중국어 보안 블로그, 일본어 해설이 그것이지만, 이들은 작성자를 인터뷰하거나 권고문을 확인하거나 데이터를 추가하지 않은 채 프리프린트를 요약했을 뿐이다. 파생 보도는 교차 검증이 아니다.

Padilla는 한계를 스스로 밝히며, 그 한계는 유난히 구체적이다. HTTP 전송만 테스트되었고, 흔한 로컬 사례인 stdio 서버는 범위 밖이다. 탐색은 최선 노력 방식이므로 640은 하한이다. 완전히 테스트되지 않은 확인된 226개의 서버는 403 응답, 연결 재설정, 규격에 맞지 않는 JSON-RPC 응답 또는 단순히 오프라인 상태 때문에 배제되었으며, 논문은 그로 인한 선택 편향의 범위를 정할 수 없다고 밝힌다. 탐지는 타이밍 오라클, 차등 응답, 스키마 검사 같은 휴리스틱에 의존하며, 라벨이 지정된 벤치마크도 없고 34개 모듈에 대해 공개된 정밀도나 재현율도 없다. 그가 문서화한 변동은 개별 발견의 시간적 타당성을 약화한다. 또한 단일 연구자가 수동 검증을 수행하는 것은 그가 언급했지만 정량화하지 않은 확증 편향 위험을 초래한다.

이후에 무엇이 바뀌었나요?

지금까지의 실질적 성과는 도구와 권고 스트림이다. Corvus는 설치 가능하고 문서화되어 있으며, CobaltoSec의 권고 저장소에는 2026년 10월 30일 기준 46개의 게시된 항목이 있었는데, 이는 논문이 7월 말에 집계한 19건의 공개 공개와 대비된다. 논문 자체의 사례 연구 중 두 개는 여전히 패치된 버전이 없다 — 해당 서버들의 경우 공개는 공개 기록을 남겼지만 아직 수정 버전은 남기지 못했다.

방어자에게 이 연구에서 유용한 부분은 헤드라인 수치보다 그 방법론이다. 자격 증명 없이 응답한 서버에서만 도출된 91.8%라는 수치는 좁지만 실제적인 사실을 말해준다. 즉, 노출된 것 대부분은 애초에 잠겨 있지 않았고, 3일간의 교체(churn)는 그 상당수가 데모, 프로토타입 또는 테스트를 위해 구축된 뒤 강화되지 않았음을 시사한다. 이 논문이 말할 수 없는 것은 조직이 실제로 의존하는 MCP 서버에도 같은 상황이 적용되는지다. 왜냐하면 그 서버들은 표본에 포함되지 않았기 때문이다.