42Crunch protège chaque serveur MCP au sein d'un cadre reproductible et scalable : découvert, audité, noté, scanné, puis contrôlé avant de gagner sa place en production. Voici comment ce workflow se rattache à chacune des dix catégories de risques de l'OWASP MCP Top 10.
MCP a fait pour les agents IA ce qu'OpenAPI a fait pour les API web il y a dix ans : donner à un écosystème fragmenté un contrat commun. Un agent n'a plus besoin de code de liaison sur mesure pour chaque outil qu'il appelle — il lui suffit de pointer vers un serveur MCP, de lire les descriptions des outils, et de commencer à les invoquer. Cette facilité est précisément le problème : il n'existe aucun contrôle de validation de schéma, aucune exigence d'authentification par défaut, et aucun moyen intégré de distinguer une description d'outil légitime de celle qu'un attaquant a réécrite pour y glisser une nouvelle instruction. L'OWASP MCP Top 10 est la première tentative de la communauté pour cataloguer précisément la manière dont cette confiance est détournée.
Chaque catégorie est couverte par le workflow de sécurité MCP de 42Crunch — Contract, Audit, Security Quality Gate, Scan et Findings — conçu pour la détecter et la neutraliser.
Des identifiants codés en dur ou des tokens à longue durée de vie se retrouvent dans la mémoire du modèle, les journaux du protocole ou les traces de débogage, puis sont extraits via prompt injection.
Chaque serveur découvert devient un contrat versionné, de sorte que les identifiants ou les tokens à longue durée de vie révélés dans les descriptions d'outils ou en sortie de débogage apparaissent comme un résultat daté et attribuable — pas comme un élément enfoui dans une transcription de chat.
Des permissions mal délimitées ou temporaires s'étendent avec le temps, permettant à un agent de faire bien plus que ce pour quoi il était prévu.
Le moteur Audit note les scopes déclarés dans le contrat MCP par rapport aux bonnes pratiques structurelles, et la Security Quality Gate bloque l'accès à la production de tout serveur dont les permissions ne peuvent être justifiées.
Un attaquant compromet un outil, sa description ou sa sortie — les rug pulls, le schema poisoning et le tool shadowing relèvent tous de cette catégorie.
Un analyseur PromptDefense dédié scanne chaque description d'outil à la recherche de défenses manquantes contre le contournement d'instructions, et l'absence de signature des messages — une condition structurelle préalable aux rug pulls et au tool shadowing — est signalée au niveau du serveur.
Un connecteur ou plug-in open source compromis modifie le comportement de l'agent ou ouvre une porte dérobée au niveau de l'exécution.
Chaque dépendance intégrée par un serveur MCP — chaque connecteur, chaque plug-in — fait partie de la surface auditée. Une dépendance qui modifie le comportement d'un outil ou introduit de nouveaux chemins d'exécution apparaît comme un changement d'une version à l'autre dans les résultats d'Audit et de Scan.
Un agent construit et exécute des commandes shell, des appels API ou du code à partir d'entrées non fiables, sans validation.
Scan signale tout outil dont la description laisse entendre qu'il construira ou exécutera des commandes à partir d'une entrée fournie par l'utilisateur, comme un résultat de défense manquante, accompagné de la remédiation exacte pour combler la lacune.
Des instructions malveillantes intégrées dans le contexte récupéré détournent l'objectif de l'agent — un canal d'instructions secondaire que l'utilisateur ne voit jamais.
Un résultat tel que « aucune défense contre le contournement d'instructions détectée » est un indicateur direct et testable de l'intent flow subversion : si la description d'un outil n'indique pas explicitement au modèle de rejeter les tentatives de contourner ses consignes, Scan le signale avant que le serveur ne soit mis en production.
Des serveurs, outils ou agents ne vérifient pas correctement l'identité ou n'appliquent pas le contrôle d'accès au sein d'un échange multi-agents.
Le moteur Audit note le contrat par rapport aux schémas d'authentification obligatoires, et la Security Quality Gate impose ce seuil comme critère de mise en production plutôt que comme simple recommandation.
L'absence de journaux des invocations d'outils et des changements de contexte rend l'investigation et la réponse à incident quasiment impossibles.
Chaque résultat est un enregistrement persistant, filtrable et horodaté, de sorte qu'une régression entre la mise en production de la semaine dernière et celle-ci apparaît comme un diff précis et attribuable — et non comme une surprise découverte pendant un incident.
Des instances MCP non approuvées et non supervisées, mises en place en dehors de toute gouvernance, souvent avec des identifiants par défaut.
La découverte continue trouve automatiquement les serveurs MCP dans toute l'entreprise et génère un contrat pour chacun d'eux — transformant les serveurs fantômes d'un angle mort en un inventaire suivi dès leur apparition.
Des fenêtres de contexte partagées ou insuffisamment délimitées font fuiter les données d'un utilisateur ou d'un agent vers la session d'un autre.
Les entrées et sorties déclarées de chaque outil sont capturées dans le contrat et revérifiées à chaque audit, de sorte qu'un outil qui commence discrètement à demander un accès au contexte plus large que sa version précédente apparaît comme un diff, et non comme une surprise.
En validant les définitions d'outils, les entrées, les identifiants, les permissions, l'isolation et l'identité déléguée par rapport au MCP Contract approuvé, 42Crunch bloque les serveurs MCP non sûrs avant la connexion et détecte la dérive après le déploiement — y compris les permissions excessives (des outils sur-privilégiés qui violent le principe du moindre privilège, où une seule faille compromet tout), l'isolation insuffisante (fuite de données inter-tenants, comptes de service partagés, exécution non sandboxée), et les attaques par confused deputy, où le passthrough de token pousse un serveur à détourner les propres privilèges d'un utilisateur.
Un catalogue porté par la communauté, actuellement en bêta sous la direction de la cheffe de projet Vandana Verma Sehgal, des dix catégories de risques les plus critiques propres au Model Context Protocol — de la mauvaise gestion des tokens et du tool poisoning aux serveurs fantômes et au partage excessif de contexte. C'est l'équivalent, pour l'ère MCP, de l'OWASP API Security Top 10, bien établi de longue date.
Elle est en bêta et activement maintenue par la communauté OWASP. 42Crunch suit le projet directement et met à jour ses contrôles Audit, Scan et Security Quality Gate à mesure que les catégories sont affinées, afin que la couverture ne prenne jamais de retard sur le standard.
Les deux. Plusieurs catégories — command injection, authentification insuffisante, serveurs fantômes, altération de la chaîne d'approvisionnement — sont des risques pour le serveur lui-même, exploitables sans jamais manipuler le modèle. Les moteurs Audit et Scan de 42Crunch évaluent le serveur comme une surface d'attaque à part entière, pas seulement comme un vecteur de manipulation de l'agent.
Chaque serveur reçoit un score et une note déterministes des moteurs Audit et Scan, ventilés par catégorie. Le même serveur évalué deux fois renvoie le même score et les mêmes résultats — reproductible, et non une estimation — et chaque résultat s'accompagne d'une remédiation précise et testable.
Oui. La Security Quality Gate impose un score minimum acceptable en CI/CD et empêche tout serveur en dessous de ce seuil d'atteindre la production — sans contournement manuel possible.
Même discipline, nouvel artefact. Depuis des années, 42Crunch applique une sécurité pilotée par le contrat aux API REST et GraphQL ; le workflow OWASP MCP Top 10 reprend ce même modèle — discover, audit, gate, scan, evidence — appliqué aux serveurs MCP et à leurs descriptions d'outils en langage naturel, plutôt qu'aux chemins et paramètres OpenAPI.
Pointez 42Crunch vers n'importe quel serveur MCP et obtenez un rapport noté sur les dix catégories de l'OWASP MCP Top 10 en moins de 60 secondes. Aucun agent, aucun déploiement, aucun engagement requis.