Các máy chủ MCP có thể làm lộ bí mật doanh nghiệp thông qua các tệp cấu hình văn bản thuần túy (plaintext), quyền truy cập quá mức và Prompt Injection, thường là trước khi các đội ngũ bảo mật kịp nhận ra máy chủ đang hoạt động. Khi ngày càng nhiều tổ chức áp dụng các AI Agent vào hệ thống của mình, sự phơi nhiễm đó có thể âm thầm trở thành một lỗ hổng lớn trong bảo mật máy chủ MCP. Model Context Protocol (MCP) cho phép các AI Agent tiếp cận các công cụ và dữ liệu, bao gồm tài liệu nội bộ và hạ tầng đám mây, vốn là nền tảng của các hệ thống doanh nghiệp. Đằng sau sự tiện lợi đó, máy chủ MCP kết nối các công cụ và dữ liệu này với hệ thống doanh nghiệp thường nắm giữ "chìa khóa" cho mọi thứ nó chạm vào: thông tin xác thực (credentials), khóa tài khoản dịch vụ, API tokens và các bí mật khác. Mọi tổ chức giờ đây nên đặt câu hỏi về những bí mật nào họ đang giao cho AI và những bí mật đó được bảo vệ tốt như thế nào khi chúng đến được máy chủ MCP.
Model Context Protocol (MCP) là gì?
Model Context Protocol (MCP) là một tiêu chuẩn mở, ban đầu được giới thiệu bởi Anthropic, cho phép các trợ lý AI kết nối với các công cụ và dữ liệu bên ngoài. Thay vì bị giới hạn trong kiến thức hiện có của mô hình, một AI Agent có thể sử dụng MCP để truy cập các hệ thống trực tiếp, lấy bản ghi từ cơ sở dữ liệu, mở tệp hoặc gọi một API. Điều làm cho điều này hoạt động chính là máy chủ MCP: một chương trình nhỏ nằm giữa AI và hệ thống mà nó muốn sử dụng, hiển thị các hành động cụ thể mà AI Agent được phép thực hiện. Với máy chủ MCP đóng vai trò là trung gian, đây là nơi phát sinh rủi ro lớn nhất vì để hoạt động trên một hệ thống, máy chủ MCP yêu cầu thông tin xác thực của hệ thống đó.
Các Agent không còn chỉ đưa ra câu trả lời; chúng thực hiện hành động bằng cách truy xuất dữ liệu nhạy cảm và quyết định công cụ nào sẽ gọi bằng cách sử dụng các Định danh phi con người (Non-Human Identities - NHIs) như API keys và tokens. Bởi vì MCP biến AI Agent thành các định danh hoạt động trên khắp các hệ thống doanh nghiệp, một bí mật bị rò rỉ không chỉ làm lộ dữ liệu; nó còn cấp cho kẻ tấn công khả năng thực hiện hành động trên dữ liệu đó.
Các cách máy chủ MCP có thể làm lộ bí mật
Sự tiện lợi của MCP đi kèm với một trở ngại: Chính máy chủ cho phép AI Agent làm việc hiệu quả cũng là trung tâm chứa các thông tin xác thực. Vì MCP mang tính đổi mới và phát triển nhanh chóng, nhiều máy chủ được xây dựng và triển khai mà không có các biện pháp bảo mật cần thiết cho một thứ nắm giữ các khóa môi trường production. Dưới đây là một số cách phổ biến nhất khiến bí mật có thể bị lộ trong các máy chủ MCP.
Thông tin xác thực văn bản thuần túy trong tệp cấu hình
Các máy chủ MCP thường xuyên lưu trữ các tokens và keys mà chúng cần trong các tệp cấu hình cục bộ và thường ở dạng văn bản thuần túy (plaintext). Trong nhiều thiết lập, để một máy chủ hoạt động có nghĩa là dán một chuỗi cấu hình chứa chính các thông tin xác thực đó. Nếu tệp đó bị để lại trên đĩa, nó rất dễ bị bỏ sót, bị sao chép giữa các máy hoặc vô tình được đưa lên kho lưu trữ Git. Một khi kẻ tấn công tiếp cận được máy chủ đó, mọi thứ nó nắm giữ đều có thể đọc được.
Sự phân tán thông tin xác thực trên các máy chủ không được quản lý
Nếu không có một vị trí trung tâm để lưu trữ bí mật, mỗi AI Agent sẽ tự quản lý bí mật của riêng mình. Cùng một thông tin xác thực — bao gồm API keys và tokens — bị phân tán khắp các tệp cấu hình và biến môi trường, đồng thời các bản sao trùng lặp tích tụ trên các môi trường phát triển (development), thử nghiệm (staging) và vận hành (production). Vì không ai có danh mục đầy đủ các bí mật này, chúng hiếm khi được thay đổi (rotate), khiến chúng có hiệu lực và tĩnh vô thời hạn. Mỗi bí mật bị phân tán, tồn tại lâu dài có thể bị kẻ tấn công đánh cắp, tạo ra một điểm xâm nhập tiềm năng khác cho một vụ vi phạm.
Prompt Injection
Không phải mọi vụ rò rỉ đều yêu cầu kẻ tấn công phải đột nhập. Vì các AI Agent đọc và hành động dựa trên tài liệu mà chúng được cung cấp, kẻ tấn công có thể ẩn các hướng dẫn bên trong một tài liệu, yêu cầu hỗ trợ hoặc trang web mà Agent truy cập. Kết quả là Agent có thể thực hiện theo các hướng dẫn ẩn đó, coi chúng là các lệnh hợp lệ trong một kỹ thuật được gọi là Prompt Injection. Các Agent có thể bị lừa lạm dụng công cụ của mình hoặc bàn giao các bí mật mà chúng được tin tưởng giao phó bảo vệ.
Phân quyền quá mức (Over-permissioning)
Để tránh gặp lỗi ủy quyền trong quá trình xây dựng, các nhà phát triển thường cấp cho máy chủ MCP các quyền rộng rãi và bỏ qua đó. Tuy nhiên, những phạm vi quyền hạn hào phóng đó có xu hướng được đưa vào môi trường production nếu chúng bị lãng quên. Khi nguyên tắc đặc quyền tối thiểu (least privilege) không được thực thi, một AI Agent có thể truy cập xa hơn nhiều so với mức cần thiết cho nhiệm vụ của nó, nghĩa là bất kỳ sự xâm nhập đơn lẻ nào cũng gây ra hậu quả lớn hơn nhiều so với mức đáng có.
Rủi ro từ máy chủ bị lộ
Bất kỳ ai cũng có thể xuất bản một máy chủ MCP, đây là một vấn đề về chuỗi cung ứng (supply chain) đang chờ xảy ra. Việc kết nối với một máy chủ không đáng tin cậy có thể gây phản tác dụng, như CVE-2025-6514 đã chứng minh. Trong mcp-remote (một proxy OAuth được tải xuống hơn 400.000 lần chạy trên máy khách), một máy chủ độc hại có thể kích hoạt OS command injection, dẫn đến thực thi mã từ xa (Remote Code Execution) trên máy đang chạy proxy và cấp cho kẻ tấn công quyền truy cập để đánh cắp thông tin xác thực của máy đó.
Cách bảo mật bí mật doanh nghiệp trên máy chủ MCP
MCP thay đổi nơi lưu trữ bí mật và đối tượng tiếp cận chúng, nhưng các biện pháp bảo vệ chúng phải được áp dụng một cách có chủ đích cho lớp AI mới này. Dưới đây là một số biện pháp tốt nhất để đối phó với các con đường phơi nhiễm:
- Ngừng mã hóa cứng các bí mật và tập trung quản lý chúng. Việc đưa thông tin xác thực ra khỏi các tệp cấu hình, biến môi trường và mã nguồn để đưa vào một kho lưu trữ được quản lý duy nhất là giải pháp cho cả vấn đề lộ văn bản thuần túy và phân tán thông tin xác thực. Thay vì bí mật bị phân tán khắp các máy chủ, AI Agent sẽ truy xuất những gì chúng cần từ một nguồn được quản lý duy nhất tại thời điểm thực thi (runtime).
- Sử dụng thông tin xác thực ngắn hạn và tự động thay đổi (rotate) chúng. Các bí mật tĩnh, tồn tại lâu dài rất có giá trị đối với kẻ tấn công vì chúng không thay đổi. Thay thế chúng bằng thông tin xác thực được cấp theo yêu cầu và tự hết hạn sẽ giảm thiểu cơ hội để kẻ tấn công khai thác, và việc tự động luân phiên có nghĩa là một bí mật bị rò rỉ sẽ trở nên vô dụng ngay khi nó bị lộ.
- Thực thi đặc quyền tối thiểu (least privilege). Chỉ cấp cho mỗi AI Agent quyền truy cập vào các hệ thống và dữ liệu mà nhiệm vụ của nó yêu cầu, để một Agent bị xâm nhập chỉ làm lộ một phần nhỏ so với một Agent được phân quyền quá mức.
- Giữ vai trò của con người trong vòng lặp (human in the loop) đối với các hành động nhạy cảm. Việc truy xuất một bí mật chưa được ẩn (unmasked), xóa một bản ghi hoặc truy cập vào môi trường production phải yêu cầu xác nhận rõ ràng. Điểm kiểm soát đó thường là thứ ngăn chặn một nỗ lực Prompt Injection âm thầm trở thành một vụ vi phạm nghiêm trọng.
- Mã hóa bí mật với mô hình Zero-Trust, Zero-Knowledge. Bí mật phải được mã hóa đầu cuối (end-to-end), chỉ được truy xuất tại thời điểm sử dụng và nền tảng lưu trữ không bao giờ có thể đọc được chúng. Cách tiếp cận Zero-Knowledge có nghĩa là ngay cả khi kho lưu trữ bị xâm nhập, kẻ tấn công cũng không thu được gì có thể đọc được.
- Ghi nhật ký và kiểm tra (audit) mọi hoạt động của Agent. Các Agent tự trị hoạt động nhanh chóng và không có sự giám sát trực tiếp, vì vậy một bản ghi đầy đủ về những gì đã được truy cập và thời điểm truy cập là điều cần thiết để tuân thủ và chẩn đoán sự cố sau đó.
- Kiểm kê các máy chủ MCP của bạn. Bạn không thể bảo vệ những gì bạn không thể nhìn thấy. Việc duy trì khả năng hiển thị đối với mọi máy chủ MCP đang chạy trong môi trường của bạn sẽ loại bỏ "Shadow AI" — những định danh không được quản lý, bị lãng quên đang nắm giữ thông tin xác thực trực tiếp và không bao giờ xuất hiện trong các đợt đánh giá bảo mật.
Suy nghĩ lại về quản lý bí mật cho các AI Agent
MCP đã âm thầm thêm một lớp mới vào doanh nghiệp — một lớp nằm giữa các AI Agent và hầu hết mọi hệ thống đáng bảo vệ, và nắm giữ các thông tin xác thực để truy cập chúng. Các tổ chức phải áp dụng sự nghiêm ngặt tương tự như đối với bất kỳ hệ thống production nào khác nắm giữ bí mật, điều đó có nghĩa là việc tập trung hóa thông tin xác thực và kiểm soát những gì mỗi Agent có thể tiếp cận là vô cùng thiết yếu. Các công cụ được xây dựng cho việc này, như Keeper Secrets Manager, ẩn các bí mật theo mặc định và yêu cầu xác nhận trước khi bất kỳ giá trị nào được tiết lộ, giúp các AI Agent có thể sử dụng thông tin xác thực mà không làm chúng bị lộ, từ đó giúp các tổ chức bảo mật lớp MCP.
Lưu ý: Bài viết này được viết và đóng góp cho độc giả của chúng tôi bởi Ashley D’Andrea, Người viết nội dung tại Keeper Security.
