← CATALYST/Sicurezza MCP
MCP / 01
Sicurezza Model Context Protocol

Superficie d'attacco · CVE register · sette policy operative

Approfondimento operativo a corredo della sezione MCP sulla one-page. Aggiornato a maggio 2026. Stampabile in formato A4. Deep-linkable per CISO, Head of SecOps e auditor esterni che hanno bisogno del dettaglio completo.

CVE register · dic. 2025 – mag. 2026

Otto disclosure rilevanti tracciate. Aggiornamento continuo via threat intelligence. Il registro alimenta la review trimestrale della superficie MCP nei progetti CATALYST attivi.

Disclosure rilevanti · dic. 2025 – mag. 2026
8 segnalazioni tracciate
OX Security disclosure
Design-level
Command-injection design-level negli SDK Anthropic MCP STDIO (Python, TypeScript, Java, Rust). ≥7.000 server pubblici, ~150M download. Anthropic ha rifiutato la patch a livello protocollo, definendo il comportamento expected.
CVE-2026-23744
Critica · CVSS 9.8
MCPJam Inspector ≤1.4.2 — bind 0.0.0.0 senza autenticazione, RCE senza interazione utente. CVSS 9.8 critica.
CVE-2026-30615
Alta
Windsurf 1.9544.26 — zero-click prompt injection che porta a RCE locale.
CVE-2026-21520
Alta
Microsoft Copilot Studio — prima CVE pubblica di indirect prompt injection in agentic platform.
CVE-2026-25536
Media
MCP TypeScript SDK 1.10.0–1.25.3 — cross-client data leak.
CVE-2026-22252 / 22688
Media
LibreChat MCP STDIO, WeKnora MCP STDIO — varianti del difetto STDIO descritto nella disclosure OX Security.
CVE-2025-68143 / 44 / 45
Media
mcp-server-git (Anthropic) — path bypass su git_init / git_diff. Tre CVE concatenate, pubblicate dicembre 2025.
CERT-AgID, aprile 2026
Threat report
Documenta scenari SSRF e Proxy Hijacking via MCP server mal configurati. Riferimento operativo per PA italiana e workload regolati.

Sette policy operative

Codificate negli hook deterministici del framework. Non sono raccomandazioni; sono gate machine-checkable. Niente progetto CATALYST scrive un MCP server o lo integra senza rispetto delle policy 01–04; le policy 05–07 sono obbligatorie per workload Annex III high-risk.

01

Solo registry ufficiali

Anthropic registry · Linux Foundation MCP registry · registry self-hosted del cliente · vendor enterprise certificati. Mai server da repo personali o community non verificati. Verifica pre-install del manifest + SBOM via SCA pipeline.

02

STDIO untrusted by default

Si preferisce HTTP-SSE con TLS 1.3 + OAuth 2.1 + PKCE. Quando STDIO è inevitabile (es. dev locale), il container è full-sandboxed con outbound network bloccato e capabilities ridotte (no NET_ADMIN, no SYS_PTRACE).

03

Sandbox + least privilege

Ogni server MCP gira in container con permessi minimi, allowlist esplicita di endpoint, no shell access, filesystem read-only dove possibile. Egress controllato via egress policy (Cilium / Calico).

04

MCP Gateway centralizzato

Per progetti enterprise: tutto il traffico LLM ↔ MCP passa da un gateway che centralizza autenticazione (mTLS), audit logging strutturato, rate limiting, schema validation. Niente connessioni dirette agente ↔ server esterno. Riferimenti operativi: MintMCP, Truto.

05

Runtime guardrail

Per workload Annex III high-risk: guardrail di terze parti (Palo Alto Prisma AIRS, Capsule Security) sul flusso LLM ↔ tool ↔ response, con detection di prompt injection ed exfiltration. Inferenza in-band a costo accettato.

06

Audit trail completo · 5+ anni

Logging di ogni invocazione MCP (server, tool, parametri, risultato, hash del contesto, prompt originario) in sistema SIEM-compatibile (Splunk / Elastic / OpenSearch). Retention 5+ anni allineata a DORA Art. 9 e AI Act Art. 12.

07

Prompt injection come classe

Trattata come classe di rischio SaaS, non come singola CVE. Aggiornamento continuo del registro via threat intelligence (CERT-AgID, OX Security, vendor disclosure). Review trimestrale della superficie MCP del progetto. Test red-team su tool con privilegi.

Niente patch protocollo

Anthropic ha rifiutato di patchare il difetto STDIO a livello di protocollo, definendo il comportamento “expected”. Implicazione operativa per workload regolati: STDIO MCP è untrusted by default.

Maturità di mercato

MCP Gateway commerciali maturi: MintMCP, Truto. Runtime guardrail: Palo Alto Prisma AIRS, Capsule Security. Stack di hardening ricostruibile, non da inventare.

Disclosure attiva

Nessuno dei competitor in ambito modernizzazione AI-driven (Anthropic Playbook, Google Mainframe Rewrite, AWS Transform, IBM Project Bob) dichiara una policy MCP equivalente. È una scelta di metodo esplicita del framework.

← Torna alla sezione MCP nella one-page