Każda fala shadow IT ma ten sam kształt: narzędzie, które jest przydatne, darmowe na start i nie wymaga niczyjej zgody. SaaS wymagał karty kredytowej. Rozszerzenia przeglądarki — dwóch kliknięć. Serwery MCP wymagają adresu URL wklejonego do pliku konfiguracyjnego, a asystent po drugiej stronie ma już załadowany kontekst pracownika.

Dlaczego to rozprzestrzenia się szybciej niż poprzednia fala

Nie ma etapu zakupów, instalacji, uprawnień administratora, a często nawet logowania. Tarcia, które kiedyś dawały zespołom bezpieczeństwa szansę coś zauważyć, po prostu nie ma. A w przeciwieństwie do nieautoryzowanego konta SaaS serwer MCP nie jest odizolowaną wyspą z boku — jest wpięty w asystenta, który już czyta Twoją pracę.

Co faktycznie idzie nie tak

  • Serwer widzi wszystko, co przekaże mu model, a model nie jest ostrożny w ocenie, co jest istotne.
  • Opisy narzędzi to instrukcje, które czyta model, co czyni każdy serwer innej firmy powierzchnią ataku prompt injection.
  • Po stronie firmy zwykle nie ma śladu audytowego — o tym, co się stało, dowiadujesz się od dostawcy, jeśli w ogóle.
  • Dane uwierzytelniające trafiają do podmiotu, którego nikt nie ocenił.
  • Serwer może zmienić to, co robi, po tym, jak go zatwierdziłeś, i nic Cię o tym nie poinformuje.

Pytania, które warto zadać, zanim serwer zostanie dopuszczony

  • Kto go prowadzi — firma czy weekendowy projekt?
  • Czy obsługuje OAuth i czy możesz odebrać dostęp jednej osobie, nie odbierając go wszystkim?
  • Co rejestruje i czy możesz dostać te logi?
  • Jak dowiesz się, że jego narzędzia się zmieniły?

Rozwiązaniem jest zwykle podaż, a nie zakaz

Ludzie podłączają przypadkowe serwery, bo potrzebują czegoś, czego nie mogą dostać inaczej. Zablokowanie całej kategorii daje kilka tygodni. Opublikowanie jednego zatwierdzonego serwera, który robi wyszukiwania, po które sięgali — faktury, stany magazynowe, status zgłoszeń, o cokolwiek Twój zespół ciągle się nawzajem pyta — usuwa powód. To weekend pracy na platformie, na której narzędzia i wiedza są na poziomie przestrzeni roboczej, a punkt końcowy jest za Twoim własnym logowaniem.