Guidance MCP de la NSA : durcir le Model Context Protocol

What is this?

Le 20 mai 2026, l’Artificial Intelligence Security Center de la NSA a publié une Cybersecurity Information Sheet intitulée Model Context Protocol (MCP): Security Design Considerations for AI-Driven Automation. C’est la première guidance émise par une agence nationale de renseignement d’origine électromagnétique consacrée spécifiquement au protocole qui relie aujourd’hui la plupart des déploiements d’IA agentique, et elle intervient après une accumulation d’incidents liés à MCP au cours du premier semestre. Le document n’est pas une divulgation de vulnérabilité. C’est une évaluation au niveau de la conception : un inventaire des faiblesses structurelles qui rendent les déploiements MCP fragiles, suivi de recommandations concrètes pour les équipes qui exploitent le protocole en production ou dans des environnements sensibles.

MCP est un protocole applicatif qui donne aux systèmes d’IA un schéma de messagerie et un format de transport communs pour gérer les interactions entre services. La NSA relève que l’adoption réelle a dépassé la maturité de son modèle de sécurité, se diffusant dans les produits des secteurs de l’entreprise, de la finance, du juridique et du développement logiciel, y compris des traitements qui interrogent des données à caractère personnel.

How it works

L’observation centrale est que MCP inverse la relation client-serveur habituelle. Au lieu qu’un client se contente de demander des données, un serveur MCP peut être sollicité pour interroger des systèmes et, dans certaines configurations, exécuter des actions au nom du client connecté. Cette inversion ouvre des chemins d’attaque que les défenses de terminaux classiques n’ont jamais été conçues pour tracer.

La guidance regroupe les préoccupations en quelques thèmes récurrents. La sérialisation est ouverte, si bien qu’un contenu structuré non fiable peut y glisser des instructions inattendues. Les frontières de confiance sont implicites plutôt qu’imposées : un agent tend à considérer comme faisant autorité tout ce qu’un outil renvoie. L’invocation d’outils est dynamique, de sorte que l’ensemble des capacités offertes à un modèle peut changer à l’exécution, parfois à partir de sources découvertes à la volée. À cela s’ajoutent les lacunes opérationnelles signalées de façon constante dans l’écosystème : contrôles d’accès faibles, raccourcis dans le cycle de vie des jetons et les workflows d’approbation, comportements d’implémentation incohérents d’un serveur à l’autre, et journalisation d’audit trop mince pour rendre compte des invocations.

Le point essentiel de la NSA est que ce ne sont pas des bugs d’interface à corriger un par un. L’agence décrit l’environnement agentique comme un continuum dans lequel une hypothèse mal alignée à une étape peut se propager et se composer en une condition exploitable plus loin. Une description d’outil jugée fiable à la découverte, un jeton trop largement dimensionné à l’émission et une action non journalisée à l’exécution sont individuellement mineurs mais forment ensemble un chemin de compromission.

Why it matters

MCP est devenu la plomberie par défaut des assistants de code, des copilotes d’entreprise et des agents autonomes, et une grande partie de ce déploiement s’est faite plus vite que le modèle de sécurité n’a pu mûrir. La guidance importe parce qu’elle requalifie le risque MCP comme systémique et non incident : l’authentification, l’autorisation et la validation des entrées restent nécessaires, mais la NSA affirme explicitement que les stratégies de cyberdéfense établies ne suffisent pas, à elles seules, à traiter l’invocation dynamique d’outils, la confiance implicite et le partage de contexte. Pour les responsables sécurité, il en découle que « nous authentifions notre API » n’est plus une réponse suffisante pour un déploiement MCP. Pour les ingénieurs, c’est un rappel : la disposition d’un agent à agir sur la sortie d’un outil constitue en soi une surface d’attaque.

Defenses

L’information sheet se lit utilement comme une check-list. Tirées de ses recommandations, les priorités pour quiconque exploite MCP en production sont les suivantes :

• Choisir des implémentations maintenues. Privilégiez les projets MCP soutenus et auditez le code des serveurs que vous exploitez, plutôt que de faire confiance à des connecteurs communautaires arbitraires.
• Définir explicitement les frontières de confiance. Décidez quels serveurs et outils sont dignes de confiance, et cessez de traiter par défaut la sortie d’un outil comme une instruction faisant autorité.
• Valider les paramètres et sandboxer l’exécution. Contraignez les entrées des outils et exécutez-les dans un environnement isolé afin qu’un appel compromis n’atteigne pas l’hôte.
• Signer et vérifier les messages. Exigez une provenance pour les messages et pour tout serveur découvert dynamiquement, afin qu’un agent n’adopte pas en silence un outil qu’il ne peut attribuer.
• Filtrer les sorties chaînées. Traitez la sortie d’un outil comme une entrée non fiable pour le suivant, brisant la propagation contre laquelle la guidance met en garde.
• Appliquer des jetons à moindre privilège. Dimensionnez les identifiants par action et par outil, et gérez leur cycle de vie au lieu d’émettre des autorisations larges et durables.
• Journaliser chaque invocation. Enregistrez tous les appels d’outils et de modèles pour rendre les actions auditables a posteriori.
• Rechercher les serveurs indésirables. Balayez votre réseau à la recherche d’endpoints MCP ouverts ou non autorisés apparus hors gouvernance.

Le cadrage général mérite d’être retenu : durcir le continuum, pas seulement les endpoints, et reprendre les leçons des écosystèmes de plug-ins et de systèmes distribués antérieurs plutôt que de les réapprendre.

Status

Élément	Détail
Émetteur	NSA Artificial Intelligence Security Center (AISC)
Document	CSI — Model Context Protocol (MCP): Security Design Considerations for AI-Driven Automation
Publication	20 mai 2026
Type	Guidance de conception / recommandations de durcissement (pas une divulgation de vulnérabilité)
Périmètre	Déploiements d’IA agentique fondés sur MCP, tous fournisseurs

Ce texte résume une guidance gouvernementale rendue publique. Consultez l’information sheet complète pour l’ensemble des considérations et recommandations avant de les appliquer à votre environnement.