Keamanan MCP (Model Context Protocol) menjadi sorotan setelah OX Security melaporkan pada April 2026 bahwa transport STDIO di SDK resmi MCP dapat membuat konfigurasi berujung pada eksekusi perintah di sistem. Anthropic menyatakan perilaku itu disengaja dan hanya memperbarui dokumentasi keamanannya. Per 29 Oktober 2026, MCP juga sudah berada di bawah Agentic AI Foundation milik Linux Foundation, tetapi pengamanan server MCP tetap menjadi tanggung jawab pengembang dan pengguna.
Ringkasan Temuan Keamanan MCP
- Pelapor: OX Security (riset April 2026), dirangkum Cloud Security Alliance (CSA) pada 4 Mei 2026.
- Jenis masalah: parameter konfigurasi pada transport STDIO diteruskan ke shell sistem operasi tanpa sanitasi, pada SDK resmi Python, TypeScript, Java, dan Rust.
- Skala (perkiraan OX, belum diaudit pihak lain): sekitar 200.000 instans rentan; angka lebih dari 150 juta unduhan paket menggambarkan ukuran rantai pasok yang terdampak, bukan jumlah sistem yang sudah dibobol.
- Pengungkapan: lebih dari 30 pengungkapan bertanggung jawab dan sedikitnya tujuh CVE tingkat tinggi atau kritis; proyek hilir dalam daftar OX antara lain LiteLLM, LangChain, Flowise, dan Windsurf. Menurut CSA, celah Windsurf adalah satu-satunya dari tujuh CVE itu yang belum diperbaiki per Mei 2026.
- Tanggapan vendor: Anthropic mengonfirmasi perilaku itu disengaja dan memperbarui SECURITY.md sembilan hari setelah kontak pertama OX, tanpa perubahan arsitektur pada SDK.
- Status eksploitasi: tidak satu pun CVE yang disebut di artikel ini tercatat di katalog CISA KEV edisi 28 Oktober 2026.
Apa Itu MCP dan Mengapa Celah STDIO Penting
MCP adalah protokol terbuka yang memungkinkan aplikasi AI terhubung ke alat dan data lewat server MCP. Menurut spesifikasi MCP, pada transport STDIO klien meluncurkan server MCP sebagai subproses lokal, dan perintah peluncurannya biasanya ditulis di file konfigurasi. Menurut OX, desain ini berarti konfigurasi yang berasal dari sumber tidak tepercaya dapat berujung menjalankan perintah di mesin pengguna. Karena SDK dipakai banyak proyek, kelemahan yang sama diwarisi produk hilir.
CSA mengkritik tanggapan vendor: menyerahkan sanitasi kepada pengembang hilir menciptakan paparan sistemik, dan pembaruan SECURITY.md tidak menggantikan dokumentasi, peringatan di SDK, atau sanitasi wajib. Bagi pengembang, artinya tanggung jawab validasi ada pada aplikasi yang memakai SDK. Detail analisisnya ada di catatan riset CSA tentang krisis keamanan MCP.
Gelombang Kerentanan di Ekosistem MCP dan Agen
Masalah STDIO bukan satu-satunya. Beberapa contoh yang terdokumentasi:
- mcp-remote, CVE-2025-6514: OS command injection saat terhubung ke server MCP yang tidak tepercaya, melalui respons endpoint otorisasi yang dibuat khusus. Versi 0.0.5 sampai sebelum 0.1.16 terdampak; diperbaiki di 0.1.16; skor CVSS 3.1 sebesar 9.6 (kritis) menurut CNA JFrog; dipublikasikan 9 Juli 2025.
- Server referensi mcp-server-git: CVE-2025-68143 (alat git_init menerima path sembarang, diperbaiki di versi 2025.9.25), serta CVE-2025-68144 (argument injection) dan CVE-2025-68145 (validasi path yang hilang), keduanya diperbaiki di versi 2025.12.17. Ketiganya dipublikasikan 17 Desember 2025 dengan skor CVSS 4.0 tingkat menengah (6.3 sampai 6.5) dari CNA GitHub.
- Cursor, CVE-2025-54135 (CurXecute): indirect prompt injection yang dapat membuat agen menulis file konfigurasi MCP baru lalu menjalankan perintah tanpa persetujuan pengguna; versi di bawah 1.3.9 terdampak, diperbaiki di 1.3.9, skor CVSS 8.6 dari CNA GitHub.
- Kebocoran rahasia: menurut ringkasan CSA atas temuan GitGuardian, ada 24.008 rahasia unik di file konfigurasi MCP, dan 2.117 di antaranya masih valid saat ditemukan, sehingga file konfigurasi tersebut perlu diperlakukan seperti file kredensial. Lihat juga kebocoran kunci API AI.
Pola yang berulang: server MCP adalah kode pihak ketiga yang berjalan dengan hak akses Anda, dan sumbernya sering berasal dari repositori atau registri publik. Prinsip ini sejalan dengan OWASP Top 10 untuk Agentic AI dan LLM.
Kabar Tata Kelola: MCP Pindah ke Agentic AI Foundation
Pada 9 Desember 2025 Anthropic menyumbangkan MCP ke Agentic AI Foundation (AAIF), dana terarah di bawah Linux Foundation yang didirikan bersama Anthropic, Block, dan OpenAI, bersama proyek goose milik Block dan AGENTS.md milik OpenAI. Pengumuman itu menyebut lebih dari 97 juta unduhan SDK per bulan dan sekitar 10.000 server aktif. Kendali arah teknis MCP tetap pada para maintainer, dan Linux Foundation tidak mendikte arah teknisnya. Yang berubah adalah posisi protokol sebagai infrastruktur netral; isu keamanan seperti di atas kini akan diselesaikan lewat proses komunitas, bukan satu vendor. Rinciannya ada di pengumuman resmi MCP.
Langkah Praktis Mengamankan MCP
- Inventaris: catat semua server MCP, termasuk yang dipasang lewat editor dan alat pengembang, lalu cocokkan dengan daftar CVE.
- Anggap konfigurasi sebagai kode: jangan jalankan konfigurasi MCP dari repositori atau registri yang belum diperiksa. Tinjau file seperti mcp.json pada setiap perubahan.
- Isolasi: jalankan server MCP di sandbox atau kontainer tanpa akses ke kredensial host dan jalur sensitif.
- Pin versi dan patch: kunci versi, perbarui mcp-remote ke 0.1.16 atau lebih baru, dan pantau advisori.
- Kredensial minimal: satu kredensial per server dengan cakupan sempit, dan simpan di secrets manager.
- Pemantauan: waspadai proses anak yang tidak biasa, koneksi keluar, dan akses file dari proses server MCP.
- Validasi bagi pengembang: terapkan allowlist ketat pada data eksternal yang bisa menyentuh konfigurasi STDIO.
Untuk pengamanan antarmuka secara umum, baca keamanan API. Pengujian keamanan agen AI sebaiknya selalu dilakukan dengan izin tertulis dari pemilik sistem.
Linimasa Singkat
- 9 Juli 2025: CVE-2025-6514 pada mcp-remote dipublikasikan.
- 9 Desember 2025: MCP disumbangkan ke Agentic AI Foundation di bawah Linux Foundation.
- 17 Desember 2025: tiga CVE mcp-server-git dipublikasikan.
- April 2026: OX Security memublikasikan riset masalah STDIO pada SDK resmi; sebelumnya Anthropic memperbarui SECURITY.md sembilan hari setelah kontak pertama OX.
- 4 Mei 2026: CSA menerbitkan catatan riset tentang krisis keamanan MCP.
Pertanyaan yang Sering Diajukan
Apakah MCP tidak aman dipakai?
MCP bisa dipakai dengan aman bila server diperlakukan sebagai kode pihak ketiga: diinventarisasi, diisolasi, dikunci versinya, dan diberi akses minimal.
Mengapa Anthropic tidak mengubah SDK?
Anthropic menyatakan perilaku STDIO itu disengaja dan hanya memperbarui SECURITY.md. CSA berpendapat itu belum cukup, tetapi per Mei 2026 itulah posisi vendor.
Apakah pindah ke Linux Foundation mengubah keamanannya?
Tidak otomatis. Tata kelola netral membantu keberlanjutan, tetapi kontrol keamanan tetap menjadi tanggung jawab pengembang dan pengguna.
Siapa yang bertanggung jawab atas keamanan server MCP?
Menurut posisi Anthropic, tanggung jawab sanitasi ada pada pengembang hilir yang memakai SDK, dan pengguna akhir bertanggung jawab atas server mana yang mereka pasang. Karena itu inventaris dan pemeriksaan sumber tidak boleh dilewatkan.
Kesimpulan
Keamanan MCP bergantung pada kebiasaan dasar: inventaris, isolasi, pembaruan, dan hak akses minimum. Per 29 Oktober 2026, jangan menunggu perubahan di tingkat SDK; terapkan kontrolnya sendiri. Jika organisasi Anda membangun agen AI dan ingin integrasi MCP-nya diuji secara sah, tim Linuxhackingid dapat membantu melalui layanan asesmen keamanan dan penetration testing.
Every article is reviewed by the practice lead who ran the work before it is published.