Guidance MCP de la NSA : durcir l'IA agentique avant le déploiement

De quoi s’agit-il ?

Le 20 mai 2026, le centre de sécurité de l’intelligence artificielle de la NSA (AISC) a publié une Cybersecurity Information Sheet intitulée Model Context Protocol (MCP): Security Design Considerations for AI-Driven Automation. Il s’agit d’un document de conception de 17 pages, et non d’un avis de vulnérabilité : il cartographie les risques systémiques liés à la construction de workflows d’agents sur MCP et propose des recommandations concrètes aux organisations qui le déploient dans des environnements sensibles ou de production.

Le cadrage est la partie la plus intéressante. La NSA soutient que MCP, à l’image des premiers protocoles du web, a été livré avec une conception souple et sous-spécifiée — favorable à l’adoption, mais ambiguë pour une implémentation sûre. Les contrôles classiques comme l’authentification, l’autorisation et la validation des entrées restent nécessaires, indique l’agence, mais ils ne traitent pas correctement les risques nouveaux qu’introduisent les systèmes agentiques : invocation dynamique d’outils, relations de confiance implicites et partage de contexte entre services. C’est l’une des premières guidances d’une agence nationale à considérer MCP comme un domaine de sécurité à part entière plutôt que comme une simple couche d’intégration.

Ce que la guidance pointe

Le document ne publie aucune attaque. Il énumère des classes de faiblesses que les adoptants redécouvrent régulièrement à leurs dépens. Trois thèmes reviennent.

Premièrement, les frontières de confiance se dissolvent. MCP inverse le schéma habituel où un client interroge un serveur ; ici, les serveurs d’outils peuvent de fait piloter des actions au sein du contexte de l’agent, et un agent a tendance à traiter la sortie d’un outil comme un contexte de confiance plutôt que comme une entrée non fiable. Deuxièmement, la sérialisation et le traitement des messages ouvrent la voie à des instructions cachées et à des données malformées qui transitent entre composants sans filtrage suffisant. Troisièmement, le mésusage des agents et la sur-automatisation : un système d’IA relié à MCP peut décider seul d’appeler de nouveaux outils ou d’entreprendre de nouvelles actions, si bien qu’une seule hypothèse erronée en début de chaîne peut se propager.

La métaphore centrale de la NSA est que ce ne sont pas des bugs d’extrémité à corriger isolément. Sécuriser un déploiement MCP suppose de traiter tout l’environnement agentique comme un continuum, car « des incohérences subtiles à n’importe quelle étape peuvent se propager et se combiner en conditions exploitables ». Aucun payload n’est nécessaire pour comprendre la leçon — le risque réside dans l’architecture.

Pourquoi c’est important

L’adoption de MCP a dépassé son modèle de sécurité. La guidance relève des usages réels dans les secteurs business, finance, juridique et développement logiciel, y compris pour des tâches sensibles comme l’interrogation de données à caractère personnel. C’est précisément le terrain où la confiance implicite et les appels d’outils non journalisés transforment une fonctionnalité de confort en incident.

Pour les défenseurs, l’intérêt du document est d’être faisant autorité et neutre vis-à-vis des éditeurs. Il offre aux équipes de sécurité une référence citable pour s’opposer au « il suffit de brancher le serveur MCP et de livrer », et il s’aligne sur la direction d’autres cadres de 2026. C’est une recommandation, pas une obligation, et elle vieillira à mesure que le protocole évolue — mais elle établit un vocabulaire commun pour des risques que le durcissement au cas par cas continue de manquer.

Défenses

Les recommandations de la CSI se traduisent directement en pratique d’ingénierie. Le fil conducteur : moindre privilège et traçabilité de la provenance.

• Ne pas se fier aux réglages par défaut de MCP. La NSA est explicite : les suggestions intégrées sont insuffisantes ; ajoutez des garde-fous délibérés adaptés à votre environnement, et n’utilisez que des outils issus de fournisseurs et de dépôts réputés et bien maintenus.
• Valider chaque requête au regard d’une politique. Chaque invocation d’outil ou de modèle doit être vérifiée (forme, limites attendues, contenu nuisible) avant exécution — traitez la sortie d’un outil comme une entrée non fiable, pas comme un contexte de confiance.
• Journaliser les appels d’outils et de modèles avec tout le contexte. Enregistrez l’outil demandé, les paramètres exacts, les identités impliquées et le résultat, et intégrez ces journaux à votre supervision de sécurité pour qu’une investigation ultérieure puisse reconstituer les faits.
• Segmenter les outils par classification des données. Regroupez les outils par zones de sensibilité, et contrôlez et isolez explicitement ceux qui touchent des données sensibles plutôt que d’exposer une surface d’outils uniforme.
• Garder le traitement sensible en local. Pour des données privées ou réglementées, exécutez les outils MCP localement plutôt que via des services externes, et épinglez strictement les URL de ressources et les méthodes d’accès.
• Contraindre les chemins sortants. Placez un proxy de filtrage sortant ou un DLP d’entreprise devant les connexions MCP externes afin de réduire les fuites de données involontaires depuis le contexte de l’agent.

Status

Aspect	Détail
Éditeur	NSA Artificial Intelligence Security Center (AISC)
Document	Cybersecurity Information Sheet, U/OO/6030316-26, Ver. 1.0
Publication	20 mai 2026 (17 pages)
Type	Guidance de conception — ni CVE ni avis de vulnérabilité
Périmètre	MCP dans des déploiements agentiques sensibles / en production

Le message n’est pas un nouvel exploit mais un changement de posture : l’IA agentique bâtie sur MCP hérite de risques que les correctifs d’extrémité ne peuvent pas refermer, et l’apport de la NSA est de nommer ces risques et de fournir aux adoptants une check-list concrète, centrée sur la provenance, à appliquer avant le déploiement plutôt qu’après.