Le Model Context Protocol (MCP), standard d’interopérabilité des agents IA, s’est imposé en un temps record grâce au soutien des géants technologiques. Mais son développement accéléré a négligé un aspect essentiel : la sécurité. Alors que les vulnérabilités s’accumulent, son avenir à l’orée de 2026 est incertain.

Qu’est-ce que le MCP et comment a-t-il connu un tel succès ?

Lancé fin 2024 par Anthropic, le Model Context Protocol (MCP) est bien plus qu’un simple protocole open source. Il représente une tentative de standardisation des échanges entre modèles de langage et sources de données externes, une normalisation dont l’écosystème IA avait cruellement besoin. Son adoption quasi-immédiate par OpenAI, Google, Microsoft, AWS et GitHub s’explique par une simplicité technique séduisante et une vision résolument tournée vers l’interopérabilité.

Fin 2025, son intégration au sein de la Linux Foundation via l’Agentic AI Foundation a consacré son statut de standard incontournable. Pourtant, cette course à l’adoption s’est faite au détriment d’un examen approfondi de sa robustesse sécuritaire, comme si la communauté tech répétait les erreurs du passé en matière de sécurité by design.

Pourquoi la sécurité a-t-elle été reléguée au second plan ?

Dès sa conception, les priorités du MCP ont clairement penché vers l’interopérabilité et la fonctionnalité plutôt que vers la sécurisation des échanges. Cette orientation a engendré plusieurs lacunes structurelles préoccupantes : absence de signature numérique des messages, modèle de confiance excessivement permissif et mécanismes d’autorisation insuffisants.

Même les flux OAuth, pourtant présents dans les spécifications, sont rarement implémentés correctement dans la pratique. La recommandation d’intégrer un human-in-the-loop pour valider les actions sensibles est largement ignorée par les développeurs, sacrifiée sur l’autel de la rapidité de déploiement et de la course à l’innovation.

Quelles sont les principales vulnérabilités identifiées en 2025 ?

L’année 2025 a sonné le réveil brutal de la communauté avec une série de failles critiques au sein de l’écosystème MCP. Dès avril, les premières attaques par prompt injection étaient identifiées par Elena Cross de Thoughtworks, révélant une surface d’attaque insoupçonnée.

Juillet a marqué un tournant avec la découverte de CVE-2025-6514, une vulnérabilité permettant une exécution de commandes à distance via mcp-remote – avec un score CVSS de 9,6. Entre 437 000 et 558 000 téléchargements auraient été impactés, selon les estimations. Peu après, les risques se sont multipliés : vols de tokens, empoisonnement d’outils, usurpation de serveurs. Des cas concrets d’exploitation via WhatsApp ou Supabase Cursor ont dramatiquement illustré l’urgence de la situation.

Comment les acteurs de la sécurité ont-ils réagi ?

Face à l’ampleur des risques, la réponse s’est organisée tant bien que mal. Des analyses détaillées ont été publiées par Red Hat, Palo Alto, Strobes Security, Wiz et Microsoft, tandis que la Cloud Security Alliance créait un MCP Security Resource Center.

Cependant, l’écosystème souffre toujours d’un manque criant d’outils dédiés à l’audit automatique des serveurs MCP, contrairement à des environnements plus matures comme npm. Cette lacune oblige chaque entreprise à développer ses propres contrôles, complexifiant dangereusement la détection et la correction des failles à l’échelle industrielle.

Quelles évolutions sont attendues en 2026 ?

Sous l’égide de la Linux Foundation, des propositions d’amélioration ont émergé avec la spécification de novembre 2025. Parmi les plus notables : SEP-1024 pour les exigences de sécurité côté client, SEP-835 définissant des scopes par défaut pour limiter les accès, et SEP-1046 visant à renforcer les mécanismes d’autorisation.
Le problème fondamental persiste : ces mesures restent optionnelles. Aucune signature obligatoire des messages n’est imposée, et le security by default n’est pas encore la norme. Microsoft et Google développent certes des contrôles internes, mais l’absence d’approche centralisée et obligatoire laisse l’écosystème entier vulnérable.

Conclusion : MCP en 2026, un standard sous tension

Le MCP demeurera incontournable en 2026, mais sa pérennité dépendra entièrement de sa capacité à intégrer la sécurité comme exigence fondamentale plutôt que comme simple option. Une faille majeure attribuée au protocole pourrait déclencher des conséquences réputationnelles, juridiques et financières sévères, remettant en cause toute la confiance accumulée si rapidement.

Dès aujourd’hui, les organisations doivent adopter des bonnes pratiques strictes : validation humaine, audit systématique, sandboxing et monitoring renforcé. La véritable question n’est plus de savoir si le MCP survivra, mais s’il parviendra à mûrir assez vite pour éviter le scénario catastrophe que tout le monde redoute. L’innovation poursuit sa course effrénée, pendant que la sécurité tente désespérément de rattraper son retard.

---

FAQ

Qu’est-ce que le Model Context Protocol (MCP) ?

C’est un protocole open source développé par Anthropic pour standardiser la communication entre les LLMs et les outils ou données externes.

Pourquoi le MCP est-il considéré comme risqué ?

Son développement priorisant l’interopérabilité a négligé la sécurité, entraînant des failles critiques comme des injections de prompt ou des exécutions de commandes à distance.

Comment se protéger face aux risques du MCP ?

Validation humaine des actions sensibles, audit régulier des serveurs, mise en sandbox et utilisation de outils de monitoring dédiés.

---