무슨 일이 있었나
연구자들 (arXiv 2610.22301, 'My Credentials, Please', 2026-10-15)은 '파일시스템 능력 세탁'을 공식화했습니다: 공격자가 조작한 인자가 MCP 도구가 선언된 범위 밖의 민감한 호스트 파일에 접근하도록 만듭니다. 9개 레지스트리에서 21,097개 MCP 서버를 스캔한 결과, 비파일시스템 분류임에도 파일시스템 능력을 가진 787개(16.4%)가 플래그되었고, 동적 검증으로 150개의 취약 인스턴스가 확인되었으며, 조율된 공개로 Anthropic 자체 Git MCP Server의 CVE 2건(CVE-2026-27735 등)을 포함한 13건의 권고가 나왔습니다.
왜 중요한가
이것은 가장 널리 채택된 에이전트-도구 프로토콜에서의 생태계 전반적인 승인 사각지대입니다. MCP의 도구별 승인 프롬프트가 기본 서버 프로세스의 파일시스템 도달 범위를 제한하지 않음을 보여주므로, 제3자 MCP 서버를 가리키는 에이전트가 호스트 자격 증명을 조용히 읽을 수 있습니다 — 수천 개의 배포된 서버에 대한 개발자 머신 손상의 저마찰 경로입니다.
공격 경로
'파일시스템 능력 세탁'은 공격자가 조작한 도구 인자(예: ../ 순회를 포함한 git_add 경로)가 명목상 무해한 MCP 도구가 선언된 계약 및 배포 범위 밖의 호스트 파일을 읽게 만드는 클래스입니다. 클라이언트 측 승인은 선언된 인자에 기반해 실행을 승인하지만, 생성된 서버 프로세스는 주변 호스트 파일시스템 권한으로 실행되므로 범위 밖 자격 증명이 일반 도구 출력을 통해 유출됩니다.
영향받는 시스템
Model Context Protocol (MCP) 서버 — 로컬 stdio 서버가 주변 호스트 파일시스템 권한으로 실행되는 권한 모델; Anthropic의 Git MCP Server 포함 (mcp-server-git < 2026.1.14)
완화 방안
구체적으로 수정된 Anthropic Git MCP Server 사례의 경우, mcp-server-git을 2026.1.14 이상으로 업그레이드하세요 (CVE-2026-27735). 방어적으로는 경로를 받는 모든 MCP 도구를 공격자 통제 대상으로 취급하고, 선언된 계약을 신뢰하기보다 제3자 MCP 서버를 샌드박싱/강화하세요.