Baggrund
De fleste tror, de har overblikket
Cloud Security Alliance spurgte i januar 418 it- og sikkerhedsfolk, hvor godt de kendte de AI-agenter, der kører i deres egne miljøer. 68 procent havde høj tillid til deres eget overblik. 82 procent havde inden for det seneste år fundet agenter, ingen vidste fandtes, og 41 procent havde prøvet det mere end én gang.
De to tal beskriver de samme organisationer. Tilliden til overblikket er ikke påtaget. Den bygger bare på et billede, der blev tegnet, før agenterne fik værktøjer.
Hvad der er ændret
Agenterne har fået værktøjer, og værktøjerne har fået en standard
En AI-agent kunne tidligere kun det, der var programmeret ind i den. I dag finder den sine værktøjer, mens den kører, hos enhver server den kan nå. Model Context Protocol, forkortet MCP, er blevet standarden for den forbindelse. Anthropic udgav den i slutningen af 2024 og overdrog den i december 2025 til Agentic AI Foundation under Linux Foundation sammen med OpenAI og Block.
Udbredelsen er gået hurtigt. Wiz fandt MCP-servere i mindst 80 procent af de cloudmiljøer, de målte i begyndelsen af 2026, og i 5 procent af miljøerne lå der mindst én server, som kunne nås fra internettet. Der er over 9.400 offentlige servere i de store registre, og antallet af interne skønnes at være tre til fire gange så stort.
Hver server er en ny grænse for, hvad agenten kan nå. Og hver server er sat op af én, uden at andre nødvendigvis ved det.
De fire spørgsmål
Fire spørgsmål, de færreste kan svare på
De ligner dem, en IGA-platform har besvaret for medarbejdere i årevis. Forskellen er, at ingen har stillet dem til værktøjslaget endnu.
- Hvilke MCP-servere har vi? En udvikler kan tilføje en i sin editor på to minutter. Der er ingen bestilling, ingen godkendelse og intet sted, den bliver registreret.
- Hvem ejer den enkelte server? Den blev sat op til et projekt. Projektet er slut, og den, der satte den op, arbejder med noget andet nu.
- Hvad kan den nå? Det er serveren og ikke agenten, der har legitimationsoplysningerne til de bagvedliggende systemer. Agentens egne rettigheder siger derfor ikke ret meget om, hvad der reelt kan lade sig gøre.
- Hvis token bruger den? Videresendes et token fra ét system til det næste, kan en adgang, der blev udstedt til ét formål, ende med at række ind i systemer, den aldrig var tiltænkt.
Hvorfor det ikke fanges
Logfilen viser hvem, ikke hvorigennem
Jeres identitetsplatform ved, hvem der stillede en forespørgsel. Den ved ikke, hvilken MCP-server forespørgslen gik igennem, hvilke værktøjer den server stillede til rådighed, eller om den beskrivelse af værktøjet, modellen læste, svarede til den, I godkendte ved idriftsættelsen.
MCP stiller ikke selv sikkerhedskrav. Specifikationen beskriver, hvordan en model finder og kalder værktøjer, og overlader autentifikation, autorisation og transportsikkerhed til den, der bygger den enkelte klient og server. En MCP-server er derfor kun så sikker som det hold, der satte den op.
Angrebsfladen
Fem veje ind, som OWASP har givet navne
OWASP udgav i 2025 en MCP Top 10. Fællesnævneren for de fleste punkter er prompt injection: instruktioner, der når modellens kontekst og bliver læst, som om de kom fra jer.
- Den forvirrede stedfortræder: en server med brede rettigheder manipuleres til at handle på andres vegne. Hackeren behøver ikke logge ind nogen steder, kun påvirke det, modellen læser.
- Videresendte tokens: et token udstedt til ét system sendes videre til det næste i stedet for at blive vekslet til et nyt og snævrere. Bliver et mellemled kompromitteret, kan det bruge tokenet andre steder.
- Forgiftede værktøjsbeskrivelser: skjulte instruktioner i værktøjets egne metadata. De rammer, før brugeren har gjort noget som helst, fordi beskrivelsen læses ind, når forbindelsen oprettes.
- SSRF gennem værktøjer: en adresse, værktøjet selv leverer, peger indad mod interne endepunkter eller skyens metadatatjeneste, som agenten aldrig burde kunne nå.
- Uautoriserede servere: uden attestering af serveren og med svag binding af sessionen kan agenten ende med at tale med en server, ingen har godkendt.
To hændelser
Det er sket, og ingen brugere gjorde noget forkert
I september 2025 udsendte en udbredt MCP-pakke til e-mail en opdatering, der stille sendte en blind kopi af hver eneste mail, agenten afsendte, til et domæne, hackeren kontrollerede. Pakken kom igennem den kontrol, der blev lavet ved installationen, fordi den opførte sig, som den skulle, indtil en senere version ændrede adfærd.
Et halvt år tidligere viste Invariant Labs et forgiftet regneværktøj, der læste SSH-nøgler og sendte dem ud kodet ind i en parameter. Der var ingen brugerhandling, og der var ingen spor at finde bagefter.
Ingen af delene skete ved et login. Det skete, da værktøjets beskrivelse blev læst ind i modellens kontekst. En gennemgang af over 500 MCP-servere fandt, at 38 procent slet ikke havde autentifikation.
Hvad der virker
Fem skridt, der ikke kræver et program
Rækkefølgen er den samme som i alt andet governancearbejde: find dem, giv dem en ejer, og begræns dem derefter.
- Find dem: scan efter MCP-servere på netværket, på maskinerne og i de pakker, I trækker ind. En liste, I ikke har, kan ikke godkendes.
- Giv hver server en ejer og et formål: samme disciplin som for servicekonti. Ingen ejer, ingen server.
- Veksl tokens frem for at videresende dem: en udveksling udsteder en ny adgang, der kun gælder det system, den skal bruges til. Det fjerner forudsætningen for, at ét token kan række flere steder hen.
- Lås værktøjsbeskrivelserne: gem et aftryk af beskrivelsen ved idriftsættelsen, og kontroller det, hver gang listen hentes. En beskrivelse, der har ændret sig siden godkendelsen, er kode, ingen har set, med modellens tillid i ryggen.
- Behandl en ny server som en ændring: godkendt liste, signering, fastlåst version og en sikkerhedsvurdering, ligesom ved enhver anden integration.
Styringen
Samme disciplin, nyt objekt
Alt herover er den disciplin, en IGA-platform har håndteret i årevis. Et objekt får en ejer og et formål, rettigheder tildeles efter en regel, gennemgås med faste mellemrum og fjernes, når grundlaget forsvinder. Objektet er nyt. Disciplinen er den samme.
Kravet kommer også udefra. AI-forordningen, NIS2 og ISO 42001 spørger om det samme: hvem er ansvarlig, og hvad kan systemet nå. NSA udsendte i juni 2026 en vejledning om sikkerhed i MCP. Det plejer ikke at ske for emner, der er ved at forsvinde igen.
Til sidst en ærlig bemærkning. Ingen scanning giver jer en komplet liste fra dag ét. En stor del af MCP-serverne kører lokalt på udviklernes egne maskiner og rører aldrig netværket. Begynd med det, der kan nås udefra, og med den godkendte liste. De lokale kræver en politik og en samtale, ikke et værktøj.
Ved I, hvor mange MCP-servere I har?
Et healthcheck kortlægger agenter, servere og de adgange, de reelt kan nå, og peger på, hvor der skal sættes ind først.
