MCP agent mimarilerinde protocol pivoting: Google’dan JPMorgan’a yapısal güvenlik açığı
Bağımsız araştırmacı Syed Anas Mohiuddin, model-context-protocol (MCP) tabanlı agent mimarilerinde “protocol pivoting” saldırı sınıfını ortaya koydu. Tek bir compromise edilmiş AI agent, güven sınırlarını aşarak diğer internal agent’lara malicious prompt yayabilir. google, JPMorgan Chase, Weaviate, Rapid7 ve devlet kurumlarındaki güvenlik ekipleri saldırıyı doğruladı.
Ana Gelişme
Protocol pivoting, agent-to-agent (A2A) ve Agent Network Protocol (ANP) ile birlikte kullanılan MCP mimarilerinde yapısal bir güven açığı. Saldırı, LLM guardrail’lerini doğrudan hedeflemiyor — agent’lar arası trust boundary’leri kırıyor.
Saldırı zinciri:
- Bir agent compromise edilir (ör. SSRF, prompt injection)
- Compromise edilmiş agent, diğer internal agent’lara güvenilir kaynak olarak görünür
- Malicious prompt, trust boundary üzerinden lateral spread gerçekleşir
- Per-protocol mitigasyonlar (tek agent düzeyinde) yetersiz kalır
google MCP Toolbox’taki ssrf açığı (CVE-2026-14540) bu saldırı sınıfının somut örneği. CVSS v4.0 skoru 8.0; 30 Temmuz 2026’da yayınlandı. Redirect manipülasyonu ile SSRF mümkün. mcp-toolbox v1.5.0’da redirect/IP validation ve DNS-rebinding protection ile düzeltildi.
Neden Önemli?
enterprise-mcp-adoption hızlanıyor; Türk geliştirici ekipleri de MCP tabanlı agent stack’leri değerlendiriyor. Protocol pivoting, agent mimarilerinin güven varsayımlarını temelden sorguluyor.
ai-agent-security alanında yeni bir saldırı vektörü. Geleneksel güvenlik (firewall, authentication) agent trust boundary’lerini kapsamıyor. Agent’lar birbirine güveniyor — bu güven kırıldığında lateral spread kaçınılmaz.
Teknik Detaylar
CVE-2026-14540 — Google MCP Toolbox SSRF:
- Etkilenen versiyonlar: 0.3.0–1.4.0
- CVSS v4.0: 8.0 (High)
- Saldırı vektörü: Redirect manipülasyonu
- Fix: v1.5.0 — redirect/IP validation, DNS-rebinding protection
Protocol pivoting tanımı: IETF Internet-Draft’ta formalize edilen saldırı sınıfı. Bir protokol üzerinden compromise edilen agent, farklı protokol veya trust domain’deki agent’lara saldırı yayar. MCP + A2A/ANP composition’ında özellikle tehlikeli.
Doğrulanmış kurumlar:
- google — MCP Toolbox SSRF, security team confirmation
- JPMorgan Chase — protocol pivoting doğrulaması
- Weaviate — agent trust boundary testleri
- Rapid7 — ilgili CVE yayını
- Fransız interministerial digital directorate
- Tangerang City (Endonezya)
US federal MCP sunucuları: Araştırmacı, 2 Eylül 2026’da beş US federal government MCP sunucusu bildirdi — rapor tarihinde triage aşamasında. Kesin sonuç iddiası yapılmamalı.
Bağlam
mcp ve agentic-ai mimarileri, agent’ların birbirleriyle ve external tool’larla iletişim kurmasını sağlıyor. Bu composition, per-protocol güvenlik kontrollerinin yetersiz kalmasına yol açıyor.
Haziran 2026’daki MCP auto-execution CVE’leri ve prompt-injection tartışmaları, protocol pivoting ile birleşince agent güvenliği için kapsamlı bir risk resmi ortaya çıkıyor.
MCP adoption bağlamı: Anthropic tarafından tanıtılan Model Context Protocol, AI agent’ların external tool’lara ve veri kaynaklarına standart erişim sağlıyor. Cursor, Claude Desktop ve enterprise agent platformları MCP’yi benimsiyor. Adoption hızı, güvenlik değerlendirmesinin gerisinde kalıyor.
A2A ve ANP composition: Agent-to-Agent protokolü ve Agent Network Protocol, agent’ların birbirleriyle doğrudan iletişim kurmasını sağlıyor. MCP tool access + A2A communication + ANP discovery birleştiğinde, trust boundary’ler çoğalıyor — her boundary bir saldırı yüzeyi.
Saldırı senaryosu örneği: Bir kurumsal deployment’ta, customer-facing chatbot agent’ı MCP üzerinden internal database agent’ına bağlı. Chatbot compromise edildiğinde (prompt injection), attacker internal agent’a “güvenilir” chatbot’tan gelen malicious query gönderir. Internal agent, chatbot’a güvendiği için guardrail’leri bypass eder. Database agent’ı sensitive data döndürür. Lateral spread tamamlanır.
Google MCP Toolbox detayı: Toolbox, MCP server’ları için reference implementation. SSRF açığı, tool’un external URL fetch etmesine izin veren redirect chain’den kaynaklanıyor. Attacker, internal network’e erişim için redirect manipülasyonu kullanır. v1.5.0 fix’i redirect target validation ve DNS-rebinding protection ekliyor — ancak protocol pivoting sınıfının tamamını çözmüyor.
JPMorgan doğrulaması: Finans sektöründeki en sıkı güvenlik standartlarına sahip kurumlardan biri, protocol pivoting’i internal agent deployment’larında doğruladı. Bu, saldırı sınıfının enterprise-grade ortamlarda da geçerli olduğunu gösteriyor.
Rapid7 CVE: Güvenlik araştırma firması Rapid7, protocol pivoting ile ilişkili ayrı bir CVE yayınladı. Bu, saldırı sınıfının birden fazla vendor ve implementation’ı etkilediğini doğruluyor.
Türk Geliştirici Ekipleri için Pratik Mitigasyon
1. Agent trust boundary’lerini minimize et: Agent’lar arası güven varsayımını azalt. Her agent interaction’ı authenticate ve authorize et.
2. MCP server versiyonlarını güncel tut: Google MCP Toolbox v1.5.0+ kullan. Redirect ve IP validation aktif olsun.
3. Lateral spread’i engelle: Compromise edilmiş agent’ın diğer agent’lara erişimini network segmentation ile kısıtla. Agent’lar arası communication’ı explicit allowlist ile yönet.
4. SSRF koruması: MCP tool’larının external URL’lere erişimini kısıtla. Redirect chain’leri validate et. DNS-rebinding protection uygula.
5. Monitoring ve detection: Agent-to-agent trafiğini izle. Anormal prompt pattern’leri ve cross-agent communication spike’ları için alerting kur.
6. IETF draft’ı takip et: Protocol pivoting formalizasyonu devam ediyor. Standart mitigasyon önerileri gelişecek.
7. Agent permission model: Her agent’a minimum gerekli permission ver. Principle of least privilege, agent mimarilerinde de geçerli. Customer-facing agent’ın internal database agent’a erişimi, explicit scope ile sınırla.
8. Vendor security assessment: MCP server seçiminde güvenlik değerlendirmesi yap. Google MCP Toolbox v1.5.0+ zorunlu. Diğer vendor’ların CVE geçmişini ve fix timeline’ını incele.
Mimari Öneriler
Zero-trust agent modeli: Agent’lar arası güven varsayımını kaldır. Her agent-to-agent interaction için mutual authentication ve authorization uygula. Chatbot’un internal agent’a erişimi, explicit permission scope ile sınırla.
Prompt sanitization katmanı: Agent’lar arası geçen prompt’ları sanitize et. Cross-agent communication’da prompt injection detection uygula. Bu, LLM guardrail’lerinin ötesinde bir kontrol katmanı.
Blast radius containment: Compromise edilmiş agent’ın erişebileceği diğer agent’ları minimize et. Network segmentation ve agent isolation zone’ları kullan. Bir agent compromise edildiğinde, lateral spread’i fiziksel olarak engelle.
Audit trail: Tüm agent-to-agent communication’ı logla. Anormal pattern detection için SIEM entegrasyonu kur. Protocol pivoting saldırıları, log analizi ile tespit edilebilir.
Sonraki Adımlar
US federal MCP sunucularının triage sonuçları bekleniyor. Enterprise exploitation scope’u wild’da bilinmiyor. Google v1.5.0 fix’i uygulanmalı; diğer vendor’ların benzer açıkları değerlendirmeli.
IETF Internet-Draft, protocol pivoting’i formalize ediyor — standart mitigasyon önerileri gelişecek. Türk geliştirici toplulukları, MCP adoption kararlarında bu araştırmayı dikkate almalı.
enterprise-mcp-adoption devam ederken, agent güvenlik mimarisi tasarımının baştan düşünülmesi gerekiyor. Per-protocol mitigasyonlar yeterli değil — composition-level güvenlik gerekli. Agent stack seçiminde güvenlik değerlendirmesi, feature değerlendirmesiyle eşit öncelikte olmalı.
Türk ekosistem etkisi: Türkiye’de MCP adoption henüz erken aşamada; ancak Cursor, Claude Desktop ve enterprise agent platformları Türk geliştiriciler arasında yaygınlaşıyor. Protocol pivoting araştırması, adoption kararlarında güvenlik değerlendirmesinin önceliklendirilmesi gerektiğini gösteriyor. Startup’lar ve enterprise ekipler, agent mimarisi tasarımında trust boundary’leri baştan planlamalı.
Vendor response: Google v1.5.0 fix’i SSRF açığını kapattı; ancak protocol pivoting sınıfının tamamını çözmüyor. Diğer MCP server vendor’ları (Anthropic reference implementation, third-party servers) benzer değerlendirme yapmalı. Rapid7’in CVE yayını, security research community’nin bu alana odaklandığını gösteriyor.
Araştırmacı Syed Anas Mohiuddin: Protocol pivoting’i keşfeden ve IETF Internet-Draft’ta formalize eden araştırmacı. Dört vendor SSRF analizi ve Google, JPMorgan, Weaviate doğrulamaları onun çalışmasına dayanıyor. Ars Technica raporu, saldırı sınıfının enterprise AI deployment’ları için yapısal risk olduğunu vurguluyor — LLM guardrail’leri yeterli değil.
Fransız interministerial digital directorate ve Tangerang City (Endonezya) doğrulamaları, protocol pivoting’in global enterprise deployment’larda geçerli olduğunu gösteriyor. US federal MCP sunucuları triage aşamasında — kesin sonuç iddiası yapılmamalı. Enterprise exploitation scope wild’da bilinmiyor; ancak CVE-2026-14540 ve Rapid7 CVE, aktif saldırı potansiyelini doğruluyor.