에이전트가 넘긴 URL 을 MCP 서버가 목적지 확인 없이 그대로 요청하는 같은 실수가, 코드를 공유하지 않는 다섯 조직의 서버에서 나왔다고 연구자가 10월 갱신 글 「Protocol Pivoting, four months later」에서 밝혔어요. 8월에 알려진 구글 MCP Toolbox(CVE-2026-14540)에 더해 JP모건 문서 검색 서버의 related() 도구, 위비에이트 구글 모듈의 apiEndpoint 설정(8월 25일 수정), 프랑스 공공데이터 datagouv-mcp(9월 4일 병합), 인도네시아 탕그랑시 Wazuh MCP 서버(9월 3일 권고)가 고쳐졌고, 래피드7은 종류가 다른 GraphQL 주입 CVE(낮음)를 따로 냈어요. 아스테크니카는 이를 한 에이전트가 오염되면 그 지시를 믿고 따르는 다른 에이전트로 번지는 에이전트 간 신뢰 문제로 묶었는데, 확인되고 수정된 결함 자체는 MCP 서버의 URL 검증 누락이에요.
용어 풀이
- MCP
- Model Context Protocol, 에이전트를 외부 도구·데이터에 연결하는 표준
- SSRF
- 서버 측 요청 위조, 서버를 속여 공격자가 정한 내부 주소로 요청을 보내게 하는 공격
- CVE
- 공개 취약점에 붙는 고유 식별 번호
- GraphQL
- 필요한 데이터만 골라 요청하는 API 질의 언어
운영자 인사이트
URL 을 받아 외부로 요청하는 MCP 서버를 직접 운영한다면 연구자의 권고 네 가지를 점검해 보세요: 해석된 IP 를 접속 시점에 검증하고, 자동 리다이렉트를 끄거나 매 단계 검증하고, 요청하는 모든 도구에 같은 허용 목록을 걸고, 로그를 남기기 전에 응답 본문을 가리는 것이에요. 구글의 수정이 참고 구현으로 꼽혔어요.
여러 관점으로 보기
- 매체 보도 아스테크니카는 구글 등 다섯 조직이 인정한 결함을 에이전트끼리 서로 믿는 구조에서 오는 MCP 의 구조적 위험으로 다뤘어요. Ars Technica
- 조직별 수정 정리 다섯 조직이 각각 무엇을 고쳤는지와 래피드7의 별도 CVE-2026-97228(GraphQL 주입, CVSS 2.7)을 정리했어요. Unite.AI
- 수정 내역 프랑스 datagouv-mcp 는 9월 4일 병합한 수정에서 HTTP·HTTPS 만 허용하고, 접속 시점 IP 검증과 리다이렉트 뒤 재검사를 넣었어요. GitHub
- 앞선 분석 연구자는 9월 29일 글에서 앤트로픽 mcp-server-fetch·마이크로소프트 playwright-mcp 에도 같은 유형이 있다고 공개했지만, 두 곳의 수정 여부는 확인되지 않았다고 적었어요. DEV Community