🎙️ เรื่องเล่าจากเบื้องหลังของ AI ที่เชื่อมต่อทุกอย่าง: เมื่อ MCP กลายเป็นช่องโหว่ใหม่ของโลก agentic AI MCP ทำหน้าที่คล้าย API โดยเป็นตัวกลางระหว่าง AI agent กับแหล่งข้อมูล เช่น PayPal, Zapier, Shopify หรือระบบภายในองค์กร เพื่อให้ AI ดึงข้อมูลหรือสั่งงานได้โดยไม่ต้องเขียนโค้ดเชื่อมต่อเอง แต่การเปิด MCP server โดยไม่ระวัง อาจทำให้เกิดช่องโหว่ร้ายแรง เช่น: - การเข้าถึงข้อมูลข้าม tenant - การโจมตีแบบ prompt injection ที่แฝงมากับคำขอจากผู้ใช้ - การใช้ MCP server ปลอมที่มีคำสั่งอันตรายฝังอยู่ - การขโมย token และ takeover บัญชี - การใช้ MCP server ที่เชื่อมต่อกันแบบ “composability chaining” เพื่อหลบการตรวจจับ นักวิจัยจากหลายองค์กร เช่น UpGuard, Invariant Labs, CyberArk และ Palo Alto Networks ได้แสดงตัวอย่างการโจมตีจริงที่เกิดขึ้นแล้ว และเตือนว่าองค์กรต้องมีมาตรการป้องกัน เช่น: - ตรวจสอบ source ของ MCP server - ใช้ least privilege และ human-in-the-loop - ตรวจสอบข้อความที่ส่งไปยัง LLM อย่างละเอียด - ไม่เปิด MCP server ให้ใช้งานภายนอกโดยไม่มีการยืนยันตัวตน 🧠 10 อันดับช่องโหว่ของ MCP ที่องค์กรต้องระวัง 1. ✅ Cross-tenant data exposure ➡️ ผู้ใช้จาก tenant หนึ่งสามารถเข้าถึงข้อมูลของ tenant อื่นได้ หากไม่มีการแยกสิทธิ์อย่างชัดเจน ‼️ ข้อมูลภายในองค์กรอาจรั่วไปยังลูกค้า หรือพันธมิตรโดยไม่ตั้งใจ ⛔ ต้องใช้การแยก tenant และ least privilege อย่างเข้มงวด 2. ✅ Living off AI attacks ➡️ แฮกเกอร์แฝง prompt injection ในคำขอที่ดู harmless แล้วส่งผ่านมนุษย์ไปยัง AI agent ‼️ AI อาจรันคำสั่งอันตรายโดยไม่รู้ตัว ⛔ ต้องมีการตรวจสอบข้อความก่อนส่งไปยัง LLM และใช้ human-in-the-loop 3. ✅ Tool poisoning ➡️ MCP server ปลอมอาจมีคำสั่งอันตรายฝังใน metadata เช่น function name หรือ error message ‼️ การติดตั้ง server โดยไม่ตรวจสอบแหล่งที่มาเสี่ยงต่อการโดน “rug pull” ⛔ ต้องตรวจสอบ source, permissions และ source code ก่อนใช้งาน 4. ✅ Toxic agent flows via trusted platforms ➡️ ใช้แพลตฟอร์มที่ดูปลอดภัย เช่น GitHub เป็นช่องทางแฝง prompt injection ‼️ AI agent อาจรันคำสั่งจาก public repo โดยไม่รู้ว่ามีคำสั่งอันตราย ⛔ ต้องมีการยืนยัน tool call และตรวจสอบข้อความจากแหล่งภายนอก 5. ✅ Token theft and account takeover ➡️ หาก token ถูกเก็บแบบไม่เข้ารหัสใน config file อาจถูกขโมยและใช้สร้าง MCP server ปลอม ‼️ การเข้าถึง Gmail หรือระบบอื่นผ่าน token จะไม่ถูกตรวจจับว่าเป็นการ login ผิดปกติ ⛔ ต้องเข้ารหัส token และตรวจสอบการใช้งาน API อย่างสม่ำเสมอ 6. ✅ Composability chaining ➡️ MCP server ปลอมอาจเชื่อมต่อกับ server อื่นที่มีคำสั่งอันตราย แล้วรวมผลลัพธ์ส่งให้ AI ‼️ แม้จะไม่ได้เชื่อมต่อกับ server ปลอมโดยตรง ก็ยังถูกโจมตีได้ ⛔ ต้องตรวจสอบแหล่งข้อมูลที่ MCP server ใช้ และจำกัดการเชื่อมต่อแบบ chain 7. ✅ User consent fatigue ➡️ ผู้ใช้ถูกขออนุมัติหลายครั้งจนเริ่มกด “อนุมัติ” โดยไม่อ่าน ‼️ คำขออันตรายอาจแฝงมากับคำขอ harmless ⛔ ต้องออกแบบระบบอนุมัติให้มี context และจำกัดคำขอซ้ำซ้อน 8. ✅ Admin bypass ➡️ MCP server ไม่ตรวจสอบสิทธิ์ของผู้ใช้ ทำให้ AI agent เข้าถึงข้อมูลเกินสิทธิ์ ‼️ อาจเกิดจาก insider หรือผู้ใช้ภายนอกที่เข้าถึงระบบโดยไม่ได้รับอนุญาต ⛔ ต้องมีการตรวจสอบสิทธิ์ทุกคำขอ และจำกัดการเข้าถึงตาม role 9. ✅ Command injection ➡️ MCP server ส่ง input ไปยังระบบอื่นโดยไม่ตรวจสอบ ทำให้เกิดการ inject คำสั่ง ‼️ คล้าย SQL injection แต่เกิดในระบบ AI agent ⛔ ต้องใช้ input validation และ parameterized commands 10. ✅ Tool shadowing ➡️ MCP server ปลอม redirect ข้อมูลจาก server จริงไปยังผู้โจมตี ‼️ การโจมตีอาจไม่ปรากฏใน audit log และตรวจจับได้ยาก ⛔ ต้องตรวจสอบการใช้งานของ AI agent และจำกัดการเข้าถึง MCP หลายตัวพร้อมกัน https://www.csoonline.com/article/4023795/top-10-mcp-vulnerabilities.html