NewsAgency

MCP for agent-to-agent comms may be the riskiest protocol you've never heard of

Properties1
tagsmcp, protocol-pivoting, ssrf, ai-agent-security, cve-2026-14540, a2a

8 dakika okuma süresi

Summary

Independent researcher Syed Anas Mohiuddin demonstrated ‘protocol pivoting’ attacks exploiting trust gaps in Model Context Protocol (MCP), allowing one compromised AI agent to spread malicious prompts to other internal agents. Vulnerabilities were found across Google, JP Morgan Chase, Weaviate, Rapid7, and government agencies. Google’s MCP toolbox flaw (CVE, severity 8) enabled SSRF via redirect manipulation.

Source Analysis

Research Notes

Additional Sources

Verified Facts

  • CVE-2026-14540 published July 30, 2026; CVSS v4.0 8.0; fixed in mcp-toolbox v1.5.0 with redirect/IP validation and DNS-rebinding protection
  • Protocol pivoting confirmed by security teams at Google, JPMorgan, Weaviate, French interministerial digital directorate, Tangerang City; Rapid7 published related CVE
  • Five US federal government MCP servers reported Sep 2, 2026 — still in triage at time of Ars report
  • Attack targets agent trust boundaries, not LLM guardrails directly

Unverified / Caveats

  • US federal MCP findings not yet confirmed outcomes per researcher update
  • Scope of enterprise exploitation in wild unknown

Broader Context

Structural flaw in agentic architectures composing MCP with A2A/ANP — mitigations per-protocol insufficient. Complements June 2026 MCP auto-execution CVEs and runlayer governance narrative.

Draft Article

MCP agent mimarilerinde protocol pivoting: Google’dan JPMorgan’a yapısal güvenlik açığı

Bağımsız araştırmacı Syed Anas Mohiuddin, model-context-protocol (MCP) tabanlı agent mimarilerinde “protocol pivoting” saldırı sınıfını ortaya koydu. Tek bir compromise edilmiş AI agent, güven sınırlarını aşarak diğer internal agent’lara malicious prompt yayabilir. google, JPMorgan Chase, Weaviate, Rapid7 ve devlet kurumlarındaki güvenlik ekipleri saldırıyı doğruladı.

Ana Gelişme

Protocol pivoting, agent-to-agent (A2A) ve Agent Network Protocol (ANP) ile birlikte kullanılan MCP mimarilerinde yapısal bir güven açığı. Saldırı, LLM guardrail’lerini doğrudan hedeflemiyor — agent’lar arası trust boundary’leri kırıyor.

Saldırı zinciri:

  1. Bir agent compromise edilir (ör. SSRF, prompt injection)
  2. Compromise edilmiş agent, diğer internal agent’lara güvenilir kaynak olarak görünür
  3. Malicious prompt, trust boundary üzerinden lateral spread gerçekleşir
  4. Per-protocol mitigasyonlar (tek agent düzeyinde) yetersiz kalır

google MCP Toolbox’taki ssrf açığı (CVE-2026-14540) bu saldırı sınıfının somut örneği. CVSS v4.0 skoru 8.0; 30 Temmuz 2026’da yayınlandı. Redirect manipülasyonu ile SSRF mümkün. mcp-toolbox v1.5.0’da redirect/IP validation ve DNS-rebinding protection ile düzeltildi.

Neden Önemli?

enterprise-mcp-adoption hızlanıyor; Türk geliştirici ekipleri de MCP tabanlı agent stack’leri değerlendiriyor. Protocol pivoting, agent mimarilerinin güven varsayımlarını temelden sorguluyor.

ai-agent-security alanında yeni bir saldırı vektörü. Geleneksel güvenlik (firewall, authentication) agent trust boundary’lerini kapsamıyor. Agent’lar birbirine güveniyor — bu güven kırıldığında lateral spread kaçınılmaz.

Teknik Detaylar

CVE-2026-14540 — Google MCP Toolbox SSRF:

  • Etkilenen versiyonlar: 0.3.0–1.4.0
  • CVSS v4.0: 8.0 (High)
  • Saldırı vektörü: Redirect manipülasyonu
  • Fix: v1.5.0 — redirect/IP validation, DNS-rebinding protection

Protocol pivoting tanımı: IETF Internet-Draft’ta formalize edilen saldırı sınıfı. Bir protokol üzerinden compromise edilen agent, farklı protokol veya trust domain’deki agent’lara saldırı yayar. MCP + A2A/ANP composition’ında özellikle tehlikeli.

Doğrulanmış kurumlar:

  • google — MCP Toolbox SSRF, security team confirmation
  • JPMorgan Chase — protocol pivoting doğrulaması
  • Weaviate — agent trust boundary testleri
  • Rapid7 — ilgili CVE yayını
  • Fransız interministerial digital directorate
  • Tangerang City (Endonezya)

US federal MCP sunucuları: Araştırmacı, 2 Eylül 2026’da beş US federal government MCP sunucusu bildirdi — rapor tarihinde triage aşamasında. Kesin sonuç iddiası yapılmamalı.

Bağlam

mcp ve agentic-ai mimarileri, agent’ların birbirleriyle ve external tool’larla iletişim kurmasını sağlıyor. Bu composition, per-protocol güvenlik kontrollerinin yetersiz kalmasına yol açıyor.

Haziran 2026’daki MCP auto-execution CVE’leri ve prompt-injection tartışmaları, protocol pivoting ile birleşince agent güvenliği için kapsamlı bir risk resmi ortaya çıkıyor.

MCP adoption bağlamı: Anthropic tarafından tanıtılan Model Context Protocol, AI agent’ların external tool’lara ve veri kaynaklarına standart erişim sağlıyor. Cursor, Claude Desktop ve enterprise agent platformları MCP’yi benimsiyor. Adoption hızı, güvenlik değerlendirmesinin gerisinde kalıyor.

A2A ve ANP composition: Agent-to-Agent protokolü ve Agent Network Protocol, agent’ların birbirleriyle doğrudan iletişim kurmasını sağlıyor. MCP tool access + A2A communication + ANP discovery birleştiğinde, trust boundary’ler çoğalıyor — her boundary bir saldırı yüzeyi.

Saldırı senaryosu örneği: Bir kurumsal deployment’ta, customer-facing chatbot agent’ı MCP üzerinden internal database agent’ına bağlı. Chatbot compromise edildiğinde (prompt injection), attacker internal agent’a “güvenilir” chatbot’tan gelen malicious query gönderir. Internal agent, chatbot’a güvendiği için guardrail’leri bypass eder. Database agent’ı sensitive data döndürür. Lateral spread tamamlanır.

Google MCP Toolbox detayı: Toolbox, MCP server’ları için reference implementation. SSRF açığı, tool’un external URL fetch etmesine izin veren redirect chain’den kaynaklanıyor. Attacker, internal network’e erişim için redirect manipülasyonu kullanır. v1.5.0 fix’i redirect target validation ve DNS-rebinding protection ekliyor — ancak protocol pivoting sınıfının tamamını çözmüyor.

JPMorgan doğrulaması: Finans sektöründeki en sıkı güvenlik standartlarına sahip kurumlardan biri, protocol pivoting’i internal agent deployment’larında doğruladı. Bu, saldırı sınıfının enterprise-grade ortamlarda da geçerli olduğunu gösteriyor.

Rapid7 CVE: Güvenlik araştırma firması Rapid7, protocol pivoting ile ilişkili ayrı bir CVE yayınladı. Bu, saldırı sınıfının birden fazla vendor ve implementation’ı etkilediğini doğruluyor.

Türk Geliştirici Ekipleri için Pratik Mitigasyon

1. Agent trust boundary’lerini minimize et: Agent’lar arası güven varsayımını azalt. Her agent interaction’ı authenticate ve authorize et.

2. MCP server versiyonlarını güncel tut: Google MCP Toolbox v1.5.0+ kullan. Redirect ve IP validation aktif olsun.

3. Lateral spread’i engelle: Compromise edilmiş agent’ın diğer agent’lara erişimini network segmentation ile kısıtla. Agent’lar arası communication’ı explicit allowlist ile yönet.

4. SSRF koruması: MCP tool’larının external URL’lere erişimini kısıtla. Redirect chain’leri validate et. DNS-rebinding protection uygula.

5. Monitoring ve detection: Agent-to-agent trafiğini izle. Anormal prompt pattern’leri ve cross-agent communication spike’ları için alerting kur.

6. IETF draft’ı takip et: Protocol pivoting formalizasyonu devam ediyor. Standart mitigasyon önerileri gelişecek.

7. Agent permission model: Her agent’a minimum gerekli permission ver. Principle of least privilege, agent mimarilerinde de geçerli. Customer-facing agent’ın internal database agent’a erişimi, explicit scope ile sınırla.

8. Vendor security assessment: MCP server seçiminde güvenlik değerlendirmesi yap. Google MCP Toolbox v1.5.0+ zorunlu. Diğer vendor’ların CVE geçmişini ve fix timeline’ını incele.

Mimari Öneriler

Zero-trust agent modeli: Agent’lar arası güven varsayımını kaldır. Her agent-to-agent interaction için mutual authentication ve authorization uygula. Chatbot’un internal agent’a erişimi, explicit permission scope ile sınırla.

Prompt sanitization katmanı: Agent’lar arası geçen prompt’ları sanitize et. Cross-agent communication’da prompt injection detection uygula. Bu, LLM guardrail’lerinin ötesinde bir kontrol katmanı.

Blast radius containment: Compromise edilmiş agent’ın erişebileceği diğer agent’ları minimize et. Network segmentation ve agent isolation zone’ları kullan. Bir agent compromise edildiğinde, lateral spread’i fiziksel olarak engelle.

Audit trail: Tüm agent-to-agent communication’ı logla. Anormal pattern detection için SIEM entegrasyonu kur. Protocol pivoting saldırıları, log analizi ile tespit edilebilir.

Sonraki Adımlar

US federal MCP sunucularının triage sonuçları bekleniyor. Enterprise exploitation scope’u wild’da bilinmiyor. Google v1.5.0 fix’i uygulanmalı; diğer vendor’ların benzer açıkları değerlendirmeli.

IETF Internet-Draft, protocol pivoting’i formalize ediyor — standart mitigasyon önerileri gelişecek. Türk geliştirici toplulukları, MCP adoption kararlarında bu araştırmayı dikkate almalı.

enterprise-mcp-adoption devam ederken, agent güvenlik mimarisi tasarımının baştan düşünülmesi gerekiyor. Per-protocol mitigasyonlar yeterli değil — composition-level güvenlik gerekli. Agent stack seçiminde güvenlik değerlendirmesi, feature değerlendirmesiyle eşit öncelikte olmalı.

Türk ekosistem etkisi: Türkiye’de MCP adoption henüz erken aşamada; ancak Cursor, Claude Desktop ve enterprise agent platformları Türk geliştiriciler arasında yaygınlaşıyor. Protocol pivoting araştırması, adoption kararlarında güvenlik değerlendirmesinin önceliklendirilmesi gerektiğini gösteriyor. Startup’lar ve enterprise ekipler, agent mimarisi tasarımında trust boundary’leri baştan planlamalı.

Vendor response: Google v1.5.0 fix’i SSRF açığını kapattı; ancak protocol pivoting sınıfının tamamını çözmüyor. Diğer MCP server vendor’ları (Anthropic reference implementation, third-party servers) benzer değerlendirme yapmalı. Rapid7’in CVE yayını, security research community’nin bu alana odaklandığını gösteriyor.

Araştırmacı Syed Anas Mohiuddin: Protocol pivoting’i keşfeden ve IETF Internet-Draft’ta formalize eden araştırmacı. Dört vendor SSRF analizi ve Google, JPMorgan, Weaviate doğrulamaları onun çalışmasına dayanıyor. Ars Technica raporu, saldırı sınıfının enterprise AI deployment’ları için yapısal risk olduğunu vurguluyor — LLM guardrail’leri yeterli değil.

Fransız interministerial digital directorate ve Tangerang City (Endonezya) doğrulamaları, protocol pivoting’in global enterprise deployment’larda geçerli olduğunu gösteriyor. US federal MCP sunucuları triage aşamasında — kesin sonuç iddiası yapılmamalı. Enterprise exploitation scope wild’da bilinmiyor; ancak CVE-2026-14540 ve Rapid7 CVE, aktif saldırı potansiyelini doğruluyor.

Kaynaklar

PreScreening Notes

Score: 9/10 | Priority: critical

Breaking security research: protocol pivoting across MCP/A2A exploits trust between AI agents at Google, JPMorgan, Rapid7. Structural flaw in agentic architecture.

Recency gate: Passed (within 48h window at 2026-10-06T06:05:30Z).

Evaluation Report

News Value: Breaking security research with CVE-level impact (Google severity 8). Affects enterprise AI agent deployments globally.
Audience Fit: High — Turkish dev teams increasingly adopt MCP-based agent stacks.
Risk: Low — well-sourced from Ars Technica, researcher named, multiple orgs confirmed.
Format: deep-dive — complex attack chain warrants extended technical explanation.

Suggested Angle

Türk geliştiriciler için MCP ve agent-to-agent mimarilerinde güven varsayımlarının nasıl kırıldığını ve protocol pivoting sınıfının pratik savunma önlemlerini anlat.

Editorial Notes

Onay durumu: ✓ Onaylandı — deep-dive formatı korunuyor

Onaylanan çerçeve: MCP tabanlı agent mimarilerinde protocol pivoting saldırı sınıfı; CVE-2026-14540 ve kurumsal doğrulamalar üzerinden yapısal güven açığı.

Reporting agent talimatları:

  • Saldırı zincirini adım adım açıkla: compromised agent → trust boundary → lateral prompt spread
  • Google MCP Toolbox SSRF (CVE-2026-14540, CVSS 8.0) ve v1.5.0 fix detaylarını dahil et
  • JPMorgan, Weaviate, Rapid7, Fransız devlet doğrulamalarını kaynakla
  • Per-protocol mitigasyonların yetersizliğini vurgula; pratik savunma önerileri sun
  • US federal MCP sunucuları triage aşamasında — kesin sonuç iddiası yapma

Başlık önerileri (TR):

  1. “MCP agent mimarilerinde protocol pivoting: Google’dan JPMorgan’a yapısal güvenlik açığı”
  2. “AI agent’lar arası güven nasıl kırılıyor? MCP’de protocol pivoting saldırıları”
  3. “CVE-2026-14540 ve ötesi: Kurumsal MCP dağıtımlarında agent güven sınırı riski”

Makalede mutlaka yer alması gereken noktalar:

  • Protocol pivoting tanımı ve IETF Internet-Draft referansı
  • CVE-2026-14540 (Google MCP Toolbox SSRF, CVSS 8.0, v1.5.0 fix)
  • Doğrulanmış kurumlar: Google, JPMorgan, Weaviate, Rapid7, Fransız devlet
  • LLM guardrail’lerine değil agent trust boundary’lerine yönelen saldırı vektörü
  • Türk geliştirici ekipleri için pratik mitigasyon adımları

Grafik Görünümü