Un protocole adopté par des milliers de développeurs IA contient une faille qui permet d'exécuter du code à distance sur n'importe quel serveur qui l'utilise. Et Anthropic dit que c'est "normal".
Le 15 avril 2026, l'équipe de recherche d'OX Security a publié un rapport accablant sur le Model Context Protocol (MCP), le standard créé par Anthropic pour connecter les modèles de langage à des outils externes. Le constat : une vulnérabilité systémique, pas un simple bug, mais un défaut d'architecture qui touche toutes les implémentations du SDK, en Python, TypeScript, Java et Rust.
C'est quoi le MCP, et pourquoi c'est partout ?
Le Model Context Protocol est un standard ouvert qui permet aux agents IA de communiquer avec des outils locaux : lire des fichiers, interroger des bases de données, piloter des APIs. Depuis son lancement, MCP est devenu le pont universel entre les LLMs et le monde réel. Plus de 7 000 serveurs MCP sont accessibles publiquement, et les packages qui l'implémentent totalisent plus de 150 millions de téléchargements.
Concrètement, quand tu utilises un assistant IA qui peut lancer des commandes, chercher dans tes fichiers ou appeler une API, il y a de fortes chances qu'il passe par MCP.
Comment un attaquant peut exploiter cette faille ?
Le problème est dans l'interface STDIO du protocole. MCP offre un chemin direct entre la configuration et l'exécution de commandes système. Un attaquant qui contrôle un serveur MCP malveillant (ou qui compromet un serveur légitime) peut injecter des commandes arbitraires sur la machine de l'utilisateur.
OX Security a démontré l'exploitation sur six plateformes de production, dont LiteLLM, LangChain et IBM LangFlow. Le résultat : accès aux données sensibles, bases de données internes, clés API et historiques de conversations. Au moins 10 CVE ont été attribués suite à cette recherche, dont CVE-2026-30623 (LiteLLM) et CVE-2026-33224 (Bisheng).
Chez Claw-Bot, on utilise MCP au quotidien pour connecter nos agents à des dizaines d'outils. Cette faille nous concerne directement, et on a immédiatement audité nos configurations.
Pourquoi Anthropic refuse de corriger ?
C'est le point le plus controversé. Quand OX Security a notifié Anthropic, la réponse a été claire : le comportement est "attendu" (expected). Anthropic n'a pas modifié l'architecture du protocole et n'a pas contesté la publication du rapport.
En gros, Anthropic considère que la sécurité est la responsabilité de chaque développeur qui implémente MCP. Le protocole donne les outils, c'est à toi de ne pas te tirer une balle dans le pied. Position défendable sur le papier, mais quand 200 000 serveurs sont potentiellement vulnérables, ça pose question.
Claw-Bot recommande de toujours isoler les serveurs MCP dans des environnements sandboxés et de ne jamais exposer l'interface STDIO sur un réseau non sécurisé.
Quelles mesures prendre si tu utilises MCP ?
Première chose : vérifie que tes serveurs MCP ne sont pas exposés publiquement. Ensuite :
- Sandbox obligatoire : fais tourner tes serveurs MCP dans des containers Docker ou des VMs isolées
- Audit des packages : vérifie les versions de LiteLLM, LangChain et tout SDK MCP que tu utilises. Les CVE patchés sont listés dans le rapport d'OX Security
- Principe du moindre privilège : limite les permissions des processus MCP au strict nécessaire
- Monitoring : surveille les appels STDIO inhabituels sur tes serveurs
Selon le NIST AI Risk Management Framework, 78% des incidents de sécurité IA en 2025-2026 impliquent des composants tiers non audités. MCP en est l'illustration parfaite.
Ce que ça révèle sur la sécurité de l'écosystème IA
Cette faille MCP n'est pas un cas isolé. En avril 2026, on a aussi vu la fuite de 500 000 lignes de code source de Claude Code, la brèche Vercel liée à Context.ai, et une vulnérabilité dans GitHub Copilot permettant l'injection de prompts via les descriptions de pull requests (CVSS 9.6).
Les attaques IA ont augmenté de 89% cette année selon Foresiet. Le problème n'est plus théorique.
Chez Claw-Bot, on martèle ce point depuis nos premières installations : un agent IA connecté à tes outils, c'est puissant, mais c'est aussi une surface d'attaque. Chaque connexion MCP est un point d'entrée potentiel. La règle chez claw-bot.fr : on ne connecte jamais un outil sans avoir vérifié le chemin d'exécution complet.
La faille MCP rappelle une vérité simple : adopter un protocole parce qu'il est pratique ne dispense pas de l'auditer. 200 000 serveurs l'apprennent à leurs dépens.