API locales de contrôle des agents : empêcher l’accès à l’hôte par un proxy sans authentification

Ce que c'est

État au 25 octobre 2026. Consulter à nouveau les avis et la documentation de déploiement du service de contrôle concerné. CVE-2025-49596 constitue un exemple historique confirmé : les versions de MCP Inspector antérieures à 0.14.1 ne comportaient pas d’authentification entre le client et le proxy, ce qui permettait de lancer des commandes sans authentification. L’avis indique que 0.14.1 est corrigée. Cet exemple de 2025 éclaire l’architecture actuelle ; il ne s’agit pas d’une CVE découverte en 2026. Avis Inspector.

CWE-306 désigne les fonctionnalités critiques exposées sans établir l’identité de l’appelant. Dans le cas des agents, le risque est celui d’un service auxiliaire accessible capable d’agir avec des permissions dont le bac à sable lui-même ne dispose pas. Cela peut compromettre l’isolement prévu sans vulnérabilité du noyau. Cette application à l’architecture des agents est une déduction de conception, et non l’affirmation que l’incident cité a démontré une sortie particulière de bac à sable. CWE-306.

Pourquoi c'est important

L’écoute sur l’interface de bouclage limite l’exposition réseau ; elle n’identifie pas l’appelant local. La spécification MCP Streamable HTTP exige la validation des en-têtes Origin entrants et le rejet par HTTP 403 d’un en-tête Origin présent mais invalide ; elle recommande l’écoute sur localhost et l’authentification. Ces protections sont complémentaires. Exigences de sécurité du transport.

La documentation actuelle du client web d’Inspector décrit aussi la validation de Host, car certaines requêtes de page ne comportent pas d’en-tête Origin. Son backend utilise un jeton d’authentification, et la documentation indique qu’un jeton est généré à chaque lancement. Un contrôle de l’origine du navigateur ne remplace donc pas l’authentification des clients autres que les navigateurs. Documentation du client web.

Comment l'appliquer

• Inventorier le service qui lance réellement les commandes ou écrit les fichiers. Pour les paquets Inspector installés localement, exécuter npm ls @modelcontextprotocol/inspector --depth=0 dans le répertoire d’installation ; examiner séparément les installations globales. Relier le paquet au lanceur actif plutôt que supposer que la dépendance du projet courant correspond au service en cours d’exécution. npm ls.
• Remplacer les versions affectées d’Inspector par une version prise en charge contenant le correctif de 0.14.1. Examiner aussi les avis ultérieurs ; ce correctif historique ne signifie pas que toutes les versions suivantes sont exemptes de vulnérabilités sans rapport.
• Lier les services exclusivement locaux aux interfaces de bouclage prévues et examiner la publication des ports des conteneurs, les redirections de ports et les proxys pour repérer toute exposition involontaire. Maintenir des listes explicites de valeurs Host et Origin autorisées partout où le service permet un accès par navigateur.
• Authentifier chaque opération de contrôle privilégiée. Pour un service auxiliaire local limité à une session, utiliser un identifiant d’authentification distinct et imprévisible, de durée de validité limitée, et le révoquer à la fin de la session. L’exclure des fichiers lisibles par l’agent, des transcriptions et des sorties d’outils, sauf si cet agent est intentionnellement autorisé à utiliser le service auxiliaire.
• Autoriser les opérations séparément de l’authentification. Limiter le choix des exécutables et les racines accessibles en écriture. Un jeton valide ne devrait pas donner automatiquement un accès illimité à l’administration de l’hôte.
• Comme contrôles d’acceptation, vérifier le rejet des accès non authentifiés, des identifiants expirés, des origines invalides et des noms d’hôte inattendus sans invoquer de véritables opérations privilégiées. Confirmer que le bac à sable ne peut pas atteindre un point d’écoute de contrôle dont il n’a pas besoin. Tester les redirections réellement déployées ainsi que la configuration du service.

Pièges

Ne pas considérer un port aléatoire ou la désignation de réseau interne comme une authentification. Ne pas désactiver une protection pour résoudre une erreur de connexion. Enquêter sur les processus enfants inexpliqués côté hôte, préserver les journaux du service et de l’agent et reconstruire à partir d’éléments de confiance si une exécution non autorisée est établie. Renouveler le jeton d’un service auxiliaire ne supprime pas les modifications déjà effectuées sur l’hôte.