Le Model Context Protocol (MCP) est la norme ouverte qui permet à un agent IA de se connecter à vos outils, fichiers et applications via une interface commune — souvent décrite comme le "USB-C pour l'IA". Il est véritablement utile, et entre 2025 et 2026, il a été adopté par les assistants IA, les IDE et les cadres d'agents. Mais le même connecteur qui rend un agent puissant est aussi sa plus grande surface d'attaque. Les récentes initiatives visant à gouverner les agents IA en entreprise — les fournisseurs de sécurité expédiant des outils pour surveiller les agents de codage, et les couches de gouvernance basées sur MCP intégrées dans Claude, ChatGPT et Copilot — sont le signe d'une même réalité : connecter un agent à votre environnement est une décision de sécurité, pas un simple réglage de commodité. Voici un aperçu honnête de la sécurité MCP en 2026 et comment la gouverner.
Pourquoi MCP est un problème de sécurité, pas juste une fonctionnalité
MCP en soi n'est que de la plomberie : une manière standard pour un modèle de découvrir des outils, lire leurs descriptions et les appeler. Le risque ne réside pas dans le protocole — mais dans ce qui y transite.
Lorsqu'un agent se connecte à un serveur MCP, ce serveur fournit deux éléments auxquels le modèle fait confiance : descriptions d'outils (texte indiquant au modèle ce que fait chaque outil et comment l'appeler) et résultats d'outils (tout ce que l'outil renvoie). Le modèle lit les deux et agit en conséquence. Ainsi, chaque serveur MCP auquel vous vous connectez est en fait du code et des instructions exécutées avec les privilèges de votre agent. Tout ce que l'agent peut atteindre — vos fichiers, un dépôt, une API, votre email — un serveur malveillant peut essayer de l'atteindre via l'agent.
C'est le même changement qui rend la sécurité des agents IA difficile en général, appliqué à un connecteur spécifique : la sécurité de votre configuration MCP est la sécurité de chaque serveur auquel vous vous connectez.
Les risques spécifiques à MCP en 2026
Ce ne sont pas des hypothèses — les chercheurs en sécurité les ont documentés sur de vrais clients MCP.
- Empoisonnement d'outils. Un serveur malveillant cache des instructions à l'intérieur de la description d'un outil — texte que le modèle lit mais que l'utilisateur ne voit généralement pas. Un outil qui semble être un inoffensif
add(a, b)peut secrètement instruire l'agent de lire des fichiers privés et de les exfiltrer. Comme les utilisateurs ont tendance à approuver les appels d'outils sans inspecter la description, c'est l'une des attaques spécifiques à MCP les plus percutantes. - Rug pulls (redéfinition silencieuse). Un outil MCP change sa propre définition après que vous l'avez installé et approuvé. Vous avez vérifié quelque chose de sûr ; le serveur remplace ensuite discrètement par un comportement malveillant sans vous en informer.
- Ombre d'outil et attaques inter-serveurs. Lorsque plusieurs serveurs se connectent au même agent, un serveur compromis peut remplacer ou intercepter les appels destinés à un outil de confiance — un problème de "député confus" où l'agent exécute les ordres de l'attaquant tout en pensant utiliser un outil légitime.
- La trifecta d'exfiltration. La combinaison véritablement dangereuse est un agent qui a des données privées, lit du contenu non fiable, et dispose d'une voie d'exfiltration vers l'extérieur. MCP rend facile de relier accidentellement les trois.
- Injection indirecte de prompt. Même un serveur honnête renvoie des résultats que l'agent lit — une page web, un problème, un document — qui peuvent contenir des instructions cachées. L'agent peut les suivre comme si elles venaient de vous.
Comment gouverner MCP en toute sécurité
Vous n'avez pas besoin d'éviter MCP. Vous devez gouverner ce que vous connectez et le cloisonner pour qu'un seul mauvais serveur ne devienne pas un désastre. Les principes sont de la sagesse en matière de sécurité appliquée à un nouveau connecteur.
- Vérifiez et épinglez les serveurs de confiance. Préférez les serveurs MCP officiels ou bien évalués. Ne connectez pas de serveurs tiers arbitraires à un agent qui a un accès réel, et surveillez les définitions d'outils qui changent après l'installation.
- Moindre privilège par serveur. Donnez à chaque serveur uniquement l'accès dont il a besoin pour son travail, en utilisant des identifiants à portée limitée et révocables — jamais vos comptes principaux ou clés de production. Si un serveur n'a besoin que de lire, ne le laissez pas écrire.
- Limitez le rayon d'impact. Évitez de connecter de nombreux serveurs non fiables au même agent, car un serveur compromis peut intercepter les autres. Isolez le travail sensible de tout ce qui lit le web ouvert.
- Humain dans la boucle pour les actions à fort impact. Exigez une confirmation explicite avant toute action irréversible — envoyer de l'argent, supprimer des données, publier publiquement, changer l'accès. Laissez l'agent rédiger ; vous approuvez.
- Traitez les descriptions et résultats d'outils comme non fiables. Les deux peuvent contenir des instructions injectées. La même prudence s'applique lorsqu'un agent utilise des outils de révision de code IA ou tout outil qui ingère du contenu externe.
- Consignez et auditez les appels d'outils. Gardez une trace des serveurs et outils utilisés par l'agent, afin de repérer les anomalies et révoquer rapidement.
- Gardez les secrets hors des prompts et arguments d'outils. Les mots de passe et clés API collés dans un prompt ou un appel d'outil deviennent du texte sur un serveur. Utilisez des jetons à portée limitée et des gestionnaires de secrets à la place.
La conclusion honnête
La sécurité MCP se résume à un changement de mentalité : un serveur MCP n'est pas un plugin que vous installez et oubliez — c'est un nouveau participant avec autonomie et accès, et vous devriez le traiter comme tel, sans lui accorder une confiance totale. Le protocole est ouvert et utile ; le danger réside dans l'octroi d'une confiance large et permanente à des serveurs que vous n'avez pas vérifiés. Connectez-vous délibérément, limitez chaque serveur de manière stricte, gardez un contrôle humain sur tout ce qui est irréversible, et supposez que chaque description et résultat d'outil pourrait tenter de détourner votre agent. Les équipes qui construisent actuellement la gouvernance autour des agents IA — et les agents de codage IA qui s'appuient le plus sur MCP — convergent exactement vers cela : connectez moins, faites confiance de manière restreinte, et vérifiez.
