Sécurisation du protocole de contexte de modèle (MCP).
Construire un avenir agentique plus sûr sous Windows :
À mesure que les agents d'IA gagnent en performances et s'intègrent aux flux de travail quotidiens, le besoin d'une communication sécurisée et standardisée entre les outils et les agents n'a jamais été aussi grand. Lors de Microsoft Build 2025, nous annonçons un aperçu de la manière dont Windows 11 adopte le protocole MCP (Model Context Protocol) comme couche fondamentale pour un calcul agentique sécurisé et interopérable, et de la manière dont nous le sécurisons dès le départ.
Qu'est-ce que le MCP ?
MCP est un protocole léger et ouvert, essentiellement JSON-RPC sur HTTP, qui permet aux agents et aux applications de découvrir et d'invoquer des outils de manière standardisée. Il permet une orchestration transparente entre les services locaux et distants, permettant aux développeurs de créer une seule fois et de l'intégrer partout.
MCP définit trois rôles :
- Hôtes MCP : applications comme VS Code ou d’autres outils d’IA qui souhaitent accéder aux fonctionnalités via MCP.
- Clients MCP : clients qui initient des requêtes aux serveurs MCP.
- Serveurs MCP : services légers qui exposent des fonctionnalités spécifiques (par exemple, accès au système de fichiers, recherche sémantique, actions d'application) via l'interface MCP.
Windows 11 permettra aux développeurs d'applications intelligentes souhaitant exploiter les fonctionnalités de MCP et d'IA générative pour créer des applications centrées sur l'IA générative et l'intelligence artificielle, capables d'exploiter MCP lorsque cela est nécessaire pour agir au nom de l'utilisateur. Nous fournirons un aperçu préliminaire des fonctionnalités de la plateforme MCP aux développeurs dans les prochains mois afin de recueillir leurs commentaires.
Pourquoi la sécurité est importante
Le protocole MCP ouvre de nouvelles possibilités, mais introduit également de nouveaux risques. Sans contrôles rigoureux, un serveur MCP, par exemple, pourrait exposer des fonctionnalités sensibles, être mal configuré pour autoriser l'accès à distance ou être exploité par de nombreux moyens d'attaque, notamment par injection d'invites ou par empoisonnement d'outils. D'un point de vue sécurité, les données d'entrée et d'apprentissage d'un LLM sont considérées comme non fiables. De plus, l'injection d'invites croisées peut permettre aux attaquants d'inclure des données d'invite non fiables et de mener une attaque par intrusion . Dans le cas d'une simple application de chat, une injection d'invites pourrait entraîner un jailbreak ou une fuite de données mémoire ; avec le protocole MCP, cela pourrait entraîner l'exécution complète de code à distance, soit l'attaque la plus grave.
Nous avons utilisé des recherches de sécurité internes et externes pour identifier plusieurs vecteurs de menaces émergents qui doivent être pris en compte dans une architecture agentique sécurisée :
- Injection croisée (XPIA) : le contenu malveillant intégré dans les éléments de l'interface utilisateur ou les documents peut remplacer les instructions de l'agent, entraînant des actions involontaires telles que l'exfiltration de données ou l'installation de logiciels malveillants.
- Lacunes d'authentification : les normes actuelles du MCP en matière d'authentification sont nouvelles et adoptées de manière incohérente. OAuth est facultatif et des approches ad hoc émergent.
- Fuite d'informations d'identification : les agents exécutés avec tous les privilèges utilisateur risquent d'exposer des jetons ou des informations d'identification sensibles.
- Empoisonnement des outils : les serveurs MCP non contrôlés ou de mauvaise qualité peuvent exposer des fonctionnalités dangereuses ou être utilisés pour augmenter les privilèges.
- Manque de confinement : sans isolement, un agent compromis peut affecter l'ensemble de la session utilisateur ou du système.
- Examen de sécurité limité : de nombreux serveurs sont développés rapidement avec un examen de sécurité minimal, ce qui augmente le risque de vulnérabilités.
- Risques liés au registre et à la chaîne d'approvisionnement MCP : Sans contrôle, un registre public de serveurs MCP pourrait devenir un vecteur de logiciels malveillants ou d'abus.
- Injection de commande : des entrées incorrectement validées dans le serveur MCP peuvent conduire à une exécution de commande arbitraire.
La norme MCP et la sécurité liée à l'IA constituent un domaine de recherche en pleine évolution. L'objectif de Windows 11, en tant que système d'exploitation agentique, est de fournir les capacités de sécurité fondamentales les plus solides tout en évoluant et en s'adaptant aux menaces émergentes.
Architecture de sécurité MCP dans Windows 11
Conformément à l'engagement de Microsoft dans le cadre de l'initiative Secure Future , la sécurité est notre priorité absolue dans le cadre du développement des fonctionnalités MCP. L'architecture de sécurité MCP de Windows 11 offre des fonctionnalités de sécurité fondamentales basées sur les principes suivants :
- Fournir un ensemble de base d’exigences de sécurité que tous les développeurs de serveurs MCP doivent respecter pour garantir la sécurité des utilisateurs.
- Windows 11 vise à offrir un écosystème de serveurs ouvert et diversifié, tout en accordant la priorité absolue à la sécurité des utilisateurs. Cela implique de s'assurer que chaque serveur répond aux exigences de sécurité (plus d'informations ci-dessous), possède une identité unique et que le code est signé pour permettre la validation et la révocation de la provenance si nécessaire.
- L'utilisateur a le contrôle de toutes les opérations de sécurité sensibles effectuées en son nom.
- Lorsque les agents interviennent pour le compte de l'utilisateur, leur périmètre et leurs opérations doivent être transparents pour celui-ci, et les opérations sensibles telles que les modifications de l'état du système d'exploitation, les accès aux données et aux identifiants doivent être visibles. Toutes les actions sensibles effectuées pour le compte de l'utilisateur doivent être vérifiables et transparentes.
- Le principe du moindre privilège doit être appliqué pour contenir l’impact de toute attaque possible sur un serveur MCP.
- Windows 11 applique des capacités déclaratives et une isolation (le cas échéant) pour les serveurs afin de limiter le rayon d'explosion et l'impact des attaques sur MCP.
Contrôles de sécurité MCP
Pour tenir ces promesses, Windows 11 fournira les contrôles de sécurité suivants :
- Communication via proxy : Toutes les interactions client-serveur MCP sont acheminées via un proxy Windows de confiance, permettant une application centralisée des politiques et du consentement. Cela inclut la possibilité d'appliquer l'authentification et l'autorisation de manière centralisée et cohérente, répondant ainsi à l'un des principaux défis du protocole MCP. Cela permet également un audit transparent de toutes les opérations pour le compte de l'utilisateur et fournit un point central où les solutions de sécurité peuvent observer et répondre aux attaques potentielles.
- Autorisation au niveau de l'outil : les utilisateurs doivent approuver explicitement chaque paire client-outil, avec la prise en charge de la granularité par ressource contribuant à respecter le principe de maintien du contrôle de l'utilisateur.
- Registre central des serveurs : seuls les serveurs MCP qui répondent à des critères de sécurité de base seront disponibles dans le registre Windows, garantissant ainsi la détectabilité sans compromettre la confiance.
- Isolation à l'exécution : Les serveurs MCP implémenteront le principe du moindre privilège, appliqué par des mécanismes tels que l'isolation et les autorisations granulaires. L'utilisateur contrôlera ainsi les privilèges accordés à un serveur MCP grâce à un modèle déclaratif et limitera le rayon d'action d'une attaque potentielle sur un serveur MCP spécifique.
Exigences de sécurité du serveur MCP
Les serveurs MCP devront répondre à une série d'exigences de sécurité de base afin d'apparaître dans le registre des serveurs MCP de Windows 11, qui comprend :
- Signature de code obligatoire pour établir la provenance et permettre la révocation
- La définition des outils des serveurs ne peut pas être modifiée lors de l'exécution
- Tests de sécurité des interfaces exposées
- Identité obligatoire du colis
- Les serveurs doivent déclarer les privilèges dont ils ont besoin
Ces exigences permettront d'éviter des types d'attaques comme l'empoisonnement d'outils, tout en créant un écosystème ouvert et diversifié de serveurs MCP. Plus d'informations sur ces exigences seront disponibles lors de la sortie de la version préliminaire pour les développeurs. Ces exigences sont susceptibles d'être modifiées au fur et à mesure que nous en apprendrons davantage grâce à la version préliminaire.
Aperçu du développeur
Microsoft proposera aux développeurs un aperçu privé des fonctionnalités du serveur MCP après la publication de Microsoft Build, uniquement à des fins de retour d'expérience. Cet aperçu privé pourra inclure des fonctionnalités de sécurité qui ne sont pas en mode d'application pendant la période d'aperçu privé, mais qui seront activées avant la disponibilité générale. Microsoft fournira cet aperçu privé aux développeurs et exigera que les appareils soient en mode développeur afin que seuls les développeurs autorisés puissent l'utiliser. L'application de la sécurité par défaut sera intégrée à la version finale destinée aux clients.
Regard vers l'avenir
La sécurité n'est pas une fonctionnalité ponctuelle, c'est un engagement continu. À mesure que nous développons MCP et d'autres fonctionnalités agentiques, nous continuerons à faire évoluer nos défenses. De l'isolation rapide et de la validation double LLM à l'application des politiques d'exécution et aux plugins de pare-feu, notre feuille de route est conçue pour garder une longueur d'avance sur les menaces. Nous collaborons également avec d'autres acteurs de l'écosystème, tels qu'Anthropic et le comité directeur MCP, pour aider MCP à répondre aux besoins croissants en matière de sécurité grâce à une innovation agentique continue. Pour plus d'informations, consultez : Microsoft Build 2025 : L'ère des agents IA et la construction du Web agentique ouvert .
Chez Microsoft, nous sommes convaincus que la confiance est le fondement de l'innovation. En intégrant la sécurité au cœur de notre plateforme agentique, l'avenir de l'IA sur Windows est non seulement puissant, mais aussi sûr.
Par David Weston,
https://blogs.windows.com/windowsexperience/2025/05/19/securing-the-model-context-protocol-building-a-safer-agentic-future-on-windows/
-----------------------------
Pierre Erol GIRAUDY
https://www.erolgiraudy.eu/2024/10/mes-15-livres.html
Pour Info : Mon livre https://amzn.eu/d/eTuHn56 sur AMAZON