SSRF dalam MCP server: kenapa pengikis bocorkan rahsia awan

Pada Julai 2026, seorang penyelidik keselamatan mengacukan pengimbas buatan khas kepada setiap MCP server yang dapat mereka temui di internet awam. Mereka mengesahkan 640 pelayan produksi, mengaudit 414 daripadanya secara dinamik, dan menemui 68 kerentanan yang boleh dilaporkan — suntikan SQL, suntikan templat prompt, lintasan laluan, dan SSRF yang menyasarkan terus perkhidmatan metadata awan.

Angka yang sepatutnya menghentikan langkah anda: 91.8% daripada pelayan yang mereka audit langsung tiada pengesahan OAuth.

Jika anda membina atau menjalankan MCP server untuk pengikisan web, ini masalah anda lebih daripada sesiapa pun. Seluruh tugas sesebuah alat pengikisan ialah menerima URL dan mengambilnya. Apabila URL itu dipilih oleh model bahasa, dan model itu pula boleh dipengaruhi oleh kandungan halaman yang dibacanya, anda telah membina sebuah mesin server-side request forgery dan menyerahkan stereng kepada penyerang.

Isi kandungan

• Keadaan keselamatan MCP server pada 2026
• Mengapa pelayan pengikisan ialah kes terburuk
• Anatomi sebuah CVE sebenar
• Tangga pintasan: enam cara pemeriksaan URL gagal
• Senarai semak pertahanan yang benar-benar bertahan
• Bagaimana CrawlForge melaksanakannya
• Jika anda pengguna, bukan pembina

Keadaan keselamatan MCP server pada 2026

Kajian tersebut ialah Exposed by Design: A Dynamic Security Assessment of Internet-Facing MCP Servers at Scale (Nicolás Padilla, arXiv:2608.00150, dihantar pada 31 Julai 2026). Ia merupakan penilaian tingkah laku dinamik pertama terhadap MCP server sebenar di lapangan, bukannya bacaan statik ke atas kod sumber.

Kaedahnya ialah penemuan pasif menerusi sebelas sumber data — log ketelusan sijil, GitHub, npm, PyPI, HuggingFace, Smithery, Censys, FOFA, Shodan dan lain-lain — diikuti ujian aktif menggunakan Corvus, sebuah rangka kerja dengan 34 modul ujian merangkumi 10 kelas kerentanan khusus MCP.

Apa yang ditemuinya sepanjang empat pusingan pengukuran:

Baris terakhir itulah yang sering dilangkau orang, dan ia mungkin yang paling mendedahkan. Empat daripada setiap sepuluh pelayan lenyap antara dua pusingan pengukuran berturutan — tanda perisian yang dilancarkan terus ke internet tanpa semakan keselamatan, kemudian ditarik semula.

Mengapa pelayan pengikisan ialah kes terburuk

Kebanyakan nasihat SSRF mengandaikan sebuah aplikasi web yang penyerangnya perlu mencari suatu parameter tersembunyi yang diambil di pihak pelayan. Sebuah MCP server pengikisan menterbalikkan hal itu sepenuhnya: mengambil URL yang dibekalkan penyerang ialah ciri yang diiklankan.

Tiga sifat bertindan dengan buruk:

URL dikawal oleh model. Skema alat anda menyatakan url: string. Model yang mengisinya. Tiada apa-apa dalam protokol yang membezakan URL yang ditaip pengguna daripada URL yang direka model.

Model membaca teks yang tidak dipercayai. Inilah bahagian yang menukar sifat reka bentuk menjadi eksploit. Ejen anda mengikis satu halaman; halaman itu mengandungi teks yang mengarahkan model mengambil http://169.254.169.254/latest/meta-data/iam/security-credentials/; model mematuhinya. Itulah suntikan prompt yang bertukar terus menjadi SSRF, dan permintaan itu berasal dari dalam rangkaian anda dengan apa jua kelayakan yang dipegang oleh instans anda.

Output kembali terus ke dalam konteks model. SSRF klasik bersifat buta — selalunya anda tidak dapat melihat responsnya. Di sini pula, badan respons dipulangkan kepada model sebagai output alat, dan dari situ masuk ke dalam perbualan, log, dan berkemungkinan panggilan alat seterusnya. Penyedutan data datang sedia terbina.

Hujung metadata awan menjadi sasaran yang jelas kerana ia tidak memerlukan pengesahan secara reka bentuk dan berada pada alamat tetap yang terkenal di setiap penyedia utama. Tetapi primitif yang sama turut mencapai panel pentadbiran dalaman, Redis pada localhost, pelayan API Kubernetes, dan apa jua yang selama ini mempercayai perimeter rangkaian.

Anatomi sebuah CVE sebenar

CVE-2026-65056 (diterbitkan 21 Julai 2026, CWE-918, skor asas CVSS 4.0 8.3 HIGH) memerihalkan rantaian ini dari hujung ke hujung dalam sebuah pakej sebenar. Perisian yang terjejas ialah mcp-webresearch pada versi 0.1.7 dan ke bawah.

Menurut rekod NVD, kecacatannya ialah alat visit_page hanya mengesahkan protokol URL — ia memeriksa sama ada anda menghantar http: atau https: dan tidak pernah menapis julat IP persendirian atau terpelihara. Nasihat itu kemudian menghuraikan rantaian penuhnya: penyerang mengemudi argumen URL yang dikawal LLM menerusi suntikan prompt, pelayar Playwright milik pelayan menavigasi ke hujung dalaman seperti perkhidmatan metadata instans awan, dan kandungan halaman dalaman yang sensitif — termasuk kelayakan — dipulangkan ke dalam konteks model.

Itu bukan laluan serangan teori. Itulah huraian CVE tersebut.

Ia juga bukan kes terpencil. CVE-2026-26118 ialah server-side request forgery dalam Azure MCP Server milik Microsoft sendiri, dinilai CVSS 3.1 8.8 HIGH, turut CWE-918, dibaiki dalam 1.0.2 dan 2.0.0-beta.17. Jika Microsoft pun menghantar SSRF dalam MCP server rasmi, kebarangkalian sebuah pelayan pengikisan hasil kerja hujung minggu melakukannya dengan betul bukanlah tinggi.

Tangga pintasan: enam cara pemeriksaan URL gagal

Inilah bahagian yang memeritkan. Kebanyakan pembangun yang memang menambah perlindungan SSRF hanya menambah anak tangga pertama atau kedua dan berhenti di situ. Setiap anak tangga di bawah ialah pintasan sebenar bagi anak tangga di atasnya.

1. Pengesahan protokol semata-mata. Memeriksa http:/https: dan tiada apa-apa lagi. Inilah tepatnya CVE-2026-65056. Ia menghalang file:// dan gopher://, dan tiada apa-apa yang penting di sini.

2. Senarai hitam rentetan nama hos. Menyekat rentetan literal localhost dan 127.0.0.1. Dipintas dengan mudah, kerana satu alamat IP mempunyai banyak ejaan.

3. Pengekodan literal IP alternatif. 127.0.0.1 juga ialah 2130706433 dalam perpuluhan dan 0x7f000001 dalam heksadesimal. Penghurai URL WHATWG — yang terbina dalam setiap masa jalan moden — menormalkan kesemuanya kepada alamat yang sama selepas pemeriksaan rentetan anda sudah pun lulus. Lebih buruk lagi, dalam Node.js literal IP tidak pernah melalui penyelesaian DNS, jadi perlindungan yang dicangkuk pada panggilan lookup langsung tidak nampak apa-apa.

4. IPv6 dipetakan IPv4. ::ffff:127.0.0.1 dan ::ffff:169.254.169.254 membenamkan alamat IPv4 di dalam tatatanda IPv6. Pemeriksaan julat yang hanya memahami IPv4 empat serangkai akan melepaskannya terus. Ini turut membuka varian yang dikawal DNS: penyerang menerbitkan rekod AAAA yang menuding ke alamat dalaman yang dipetakan.

5. Pengikatan semula DNS (TOCTOU). Anda menyelesaikan nama hos, mengesahkan ia alamat awam, meluluskannya — dan kemudian klien HTTP menyelesaikannya sekali lagi apabila ia benar-benar menyambung. Dengan TTL yang pendek, penyerang memulangkan IP awam pada carian pertama dan IP dalaman pada carian kedua. Satu-satunya pembaikan yang kekal ialah memeriksa dan kemudian memaku sambungan kepada IP yang telah disahkan, supaya alamat yang anda luluskan ialah alamat yang anda sambungi.

6. Lompatan ubah hala. Anda mengesahkan URL yang diberikan kepada anda. Pelayan memulangkan 302 Location: http://169.254.169.254/. Melainkan setiap lompatan disahkan semula — dan melainkan lompatan pertama yang dibenarkan tidak secara senyap menanggalkan perlindungan bagi bakinya — anda hanya memindahkan kerentanan itu satu langkah ke hilir.

Ada kes ketujuh yang khusus bagi automasi pelayar: jika alat anda memandu Playwright atau Puppeteer, pelayar melakukan navigasinya sendiri. Melindungi pembalut fetch anda tidak membantu langsung. Anda memerlukan pemeriksaan pra-navigasi dan bacaan semula URL sebenar selepas navigasi, kerana ubah hala di pihak klien dan meta-refresh berlaku di dalam halaman itu sendiri.

Senarai semak pertahanan yang benar-benar bertahan

Julat yang wajar disekat secara lalai ialah gelung balik (127.0.0.0/8, ::1), link-local termasuk metadata awan (169.254.0.0/16), dan alamat tidak ditentukan 0.0.0.0. Sekatan julat persendirian penuh (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, fc00::/7) sepatutnya tersedia sebagai mod ketat — banyak penggunaan yang sah memang perlu mengikis hos pementasan dalaman, dan perlindungan yang tidak boleh dikonfigurasikan sesiapa ialah perlindungan yang akhirnya dimatikan orang sepenuhnya.

Bagaimana CrawlForge melaksanakannya

Kami tidak menulis ini dari tepi gelanggang. Keluaran v5.0.0 CrawlForge ialah program pemulihan tujuh fasa, dan fasa pertamanya menangani tepat kelas pepijat ini — termasuk satu yang kami sendiri pernah hantar.

Perlindungan SSRF kami menyelesaikan nama hos dan memeriksa alamat yang terhasil, tetapi tidak menjalankan pemeriksaan yang sama apabila hos itu memang sudah berupa literal IP. Itulah anak tangga ketiga pada tangga di atas, dan ia benar-benar wujud dalam kod kami. Fasa 1 membaikinya dengan menjalankan pemeriksaan julat pada nama hos berbentuk literal IP semasa pemeriksaan awal dan, secara berasingan, membalut buildConnector milik dispatcher undici dengan pemeriksaan setiap sambungan — supaya lompatan ubah hala terus ke alamat dalaman ditangkap pada masa sambungan walaupun Node tidak pernah menghalakannya melalui DNS.

Baki tangga itu diliputi seperti berikut:

• IPv6 dipetakan IPv4 dinormalkan kepada IPv4 terbenamnya sebelum pemeriksaan julat, dalam mod lalai mahupun ketat.
• Sambungan dipaku kepada IP yang disahkan, menutup tetingkap pengikatan semula DNS.
• Senarai benaran dinilai setiap lompatan — lompatan pertama yang diluluskan tidak lagi menanggalkan perlindungan rantaian ubah hala.
• Navigasi pelayar dilindungi secara berasingan: scrape_with_actions mengesahkan sebelum page.goto dan membaca semula page.url() selepasnya, lalu menutup halaman jika navigasi mendarat dalam julat tersekat.
• Setiap subsistem yang membuat permintaan telah disambungkan — pengambilan halaman dan metadata, muat turun PDF, penghantaran webhook, dan pemberitahuan penyelidikan semuanya melalui perlindungan ini dan bukan fetch mentah.
• Rahsia disamarkan sebelum telemetri penggunaan meninggalkan proses.

Tetapan lalai menyekat gelung balik, link-local/metadata, dan 0.0.0.0. SSRF_STRICT=true menambah penguatkuasaan RFC1918 dan ULA yang penuh, ALLOWED_DOMAINS membenarkan hos dalaman yang dipercayai, dan SSRF_PROTECTION_ENABLED=false wujud sebagai kill switch bagi mereka yang benar-benar memerlukannya.

SSRF_STRICT=true                    # full private-range enforcement
ALLOWED_DOMAINS=staging.acme.dev    # trusted internal targets

Jika anda pengguna, bukan pembina

Anda tidak perlu membaca kod sumber sesiapa pun untuk mengurangkan pendedahan anda dengan ketara.

Audit apa yang telah anda sambungkan. Setiap MCP server dalam konfigurasi klien anda berjalan dengan akses rangkaian mesin anda dan kelayakan anda. Pada VM awan atau VPN korporat, jangkauan itu jauh lebih luas berbanding pada komputer riba.

Utamakan pelayan yang menerbitkan pendirian keselamatannya. Log perubahan yang menamakan kelas CVE yang telah ditutupnya memberitahu anda lebih banyak daripada senarai ciri. Kesenyapan bukan bukti keselamatan; berdasarkan angka kajian tadi, kesenyapan lebih hampir kepada bukti sebaliknya.

Kurangkan permukaan serangan yang anda dedahkan kepada model. Jika sesebuah pelayan menyokong senarai putih alat, gunakannya. CrawlForge menerima CRAWLFORGE_TOOLS atau CRAWLFORGE_TOOL_GROUPS untuk mendedahkan hanya alat yang benar-benar anda perlukan, yang sekali gus mengurangkan lambakan konteks dan mengecilkan apa yang boleh dicapai oleh model yang terkena suntikan prompt.

Anggap kandungan yang dikikis sebagai input bermusuh. Inilah anjakan pemikiran yang paling penting di sini. Mana-mana halaman yang dibaca ejen anda boleh mengandungi arahan yang ditujukan kepada model anda. Setiap serangan di atas bergantung pada hal itu, dan sebanyak mana pun pengukuhan rangkaian tidak akan membaiki aliran kerja yang menyalurkan teks yang dikikis terus ke dalam panggilan alat tanpa semakan.

Membina ejen yang membaca web secara langsung? Mulakan percuma dengan 1,000 credits — perlindungan SSRF aktif secara lalai, tanpa perlu konfigurasi. Lihat dokumentasi penuh, rujukan scrape_with_actions, atau cara kami menangani pengesanan anti-bot dalam mod stealth.