MCP e over-broad token scoping: come un read-only diventa write-and-execute
Un MCP server collega un agente AI a sistemi reali, e lo scope dei token è dove si gioca la sicurezza. Il vettore di privilege escalation: come un permesso nato read-only diventa write-and-execute attraverso uno scope troppo largo e un framing sociale (per fixare il bug devo leggere la config di deploy). Dalla prospettiva offensiva, con la difesa concreta: least-privilege rigoroso, separazione lettura/scrittura, zero-trust sui tool esposti all'agente. Per chi costruisce integrazioni MCP. Continua a leggere
Ultima modifica:
Mettere un agente di coding in produzione significa dargli accesso a shell, file e credenziali. Il setup di sicurezza che uso davvero parte da un validatore dei comandi bash, un perimetro operativo definito via rules, il deny esplicito delle operazioni distruttive (rm -rf), gli env file in sola lettura e il blocco degli host non gestiti. Insider puro: trasformo il mio scaffolding personale in un case study difensivo replicabile, alla luce delle CVE su Claude Code del 2026. 
Nei log di un sito reale compaiono richieste a path sensibili come .env, .ssh/id_rsa e .aws/credentials veicolate dagli user-agent di assistant AI come ChatGPT e Perplexity. Sono pochi tentativi isolati, non una campagna: ma il pattern è interessante per chi espone un'applicazione. Analisi forense onesta di cosa si vede davvero nei log, con la metodologia per distinguere il rumore dal segnale e le contromisure lato server. Information gain di prima mano, background offensivo dell'autore.