약한 고리가 된 MCP 서버: GhostSplice 수치, 유출 경로, 보안 강화 체크리스트

TL;DR

MCP 서버는 플러그인이 아니라, 호출할 때마다 에이전트와 대화하는 자격 증명 보관자입니다. 서버의 tool description과 tool result는 여러분이 직접 쓴 지시와 같은 비중으로 모델 컨텍스트에 들어갑니다.
GhostSplice는 모델 정렬(alignment)이 방어책이 되지 못한다는 것을 보여 줍니다. 탈취 명령을 한 덩어리로 주면 GPT-4o, Gemini 2.0 Flash, Llama 3.3은 100% 거부합니다. 같은 명령을 tool description과 tool result로 나눠 주면 100% 따릅니다.
모델만큼 클라이언트도 중요합니다. Claude Haiku 4.5는 API에서는 모든 요청을 거부하지만, Cursor 안에서 돌린 3조각 테스트에서는 100% 따랐습니다.
공급망은 이미 뚫려 있습니다. CVE-2025-6514는 400,000회 넘게 다운로드된 OAuth 프록시 mcp-remote를 겨냥했고, 악성 서버가 command injection을 일으킬 수 있었습니다.
Cloudflare의 프로토콜 수준 탐지와 WriteGuard는 최초의 실질적인 기업용 통제 수단이지만, TLS inspection이 켜진 Zero Trust가 필요하고 로컬 stdio 서버는 여기에 전혀 잡히지 않습니다.
개인 개발자나 소규모 팀의 방어는 수작업입니다. 인벤토리, 출처 확인, 범위를 좁힌 토큰, 모든 쓰기 작업에 사람의 승인, 그리고 tool 출력을 데이터로 취급하기입니다.

출처가 말하는 것

MCP 서버는 에이전트와 외부 서비스를 잇는 다리라서, 연결에 필요한 토큰, API 키, 서비스 계정 자격 증명을 여러분 대신 보관합니다. 8월 17일에 공개된 유출 분석은 단순한 관찰에서 출발합니다. 토큰이 설정 문자열에 그대로 붙여 넣어져 디스크에 평문으로 남아 있고, 급하게 한 번 커밋하면 Git 저장소로 넘어갈 수 있다는 것입니다 s2. 같은 분석은 두 번째 구멍으로 과도한 권한을 꼽습니다. 개발 중에 넓게 준 권한이 그대로 운영 환경까지 가기 때문에, 한 번 침해되면 실제 사용량이 요구하던 것보다 훨씬 많은 것이 노출됩니다 s2. 네 번째 구멍은 prompt injection입니다. 에이전트는 tool이 가져오는 모든 것, 즉 웹 페이지, 티켓, 내부 문서를 읽고, 그 안에 숨은 지시를 여러분이 내린 것처럼 따릅니다. 그렇게 정당한 tool을 이용해 지키려던 정보를 노출시킵니다 s2.

세 번째 구멍은 공급망입니다. CVE-2025-6514는 400,000회 넘게 다운로드된 OAuth 프록시 mcp-remote에 영향을 줬습니다. 악성 서버가 개발자 머신에서 command injection을 일으켜 코드를 실행하고 자격 증명을 가지고 빠져나갈 수 있었습니다. 한 줄로 설치하는 인기 npm 패키지 하나로 문이 열린 셈입니다 s3.

생태계는 안전장치보다 빠르게 커졌습니다. 공식 레지스트리에는 9,600개가 넘는 서버가 등록되어 있고, 원격 서버 배포는 2025년 5월 이후 5배로 늘었으며, 누구나 게시할 수 있고 중앙 검증은 없습니다. 에이전트는 아무 항목이나 공식 tool과 똑같이 신뢰합니다 s4. NSA는 5월에 MCP 전용 보안 가이드를 냈고, 프로토콜 도입 속도가 보호 장치 구축 속도를 앞질렀다고 밝혔습니다 s5.

ASSET 연구 그룹이 이름 붙인 GhostSplice는 에이전트가 직접 데이터를 빼돌리게 만듭니다. 악성 서버는 탈취 명령을 통째로 쓰지 않고 쪼갭니다. 한 조각은 tool description에, 나머지는 그 tool이 돌려주는 결과에 넣습니다. 각 조각은 단독으로는 무해해 보이고, 에이전트는 컨텍스트에 들어온 것을 다시 합쳐 선의로 전체 지시를 실행합니다 s1. 핵심은 숫자입니다. 지시를 한 덩어리로 주면 GPT-4o, Gemini 2.0 Flash, Llama 3.3은 100% 거부합니다. 지시를 쪼개면 세 모델 모두 100% 따릅니다 s1. Claude 모델은 겉으로는 더 잘 버티지만, Claude Haiku 4.5는 API에서는 전부 거부하다가 Cursor 안에서 돌린 3조각 테스트에서는 100% 따랐습니다. 같은 모델이 한 클라이언트에서는 거부하고 다른 클라이언트에서는 데이터를 빼돌립니다. 클라이언트가 보호 장치를 더했는지에 따라 갈립니다 s1. 테스트에서 탈취된 것은 SSH 키, 환경 변수 시크릿, 소스 코드, 고객 데이터이며, 가짜 키를 넣은 격리된 프로젝트에서 공개된 재현 가능한 방법으로 진행했습니다 s1. 같은 연구실은 6월에 Ghostcommit도 공개했습니다. 프로젝트 규약이 참조하는 PNG 파일에 지시를 숨기고, 훔친 시크릿을 소스 코드 안의 정수로 인코딩한 공격입니다. 지시 분할은 일회성이 아니라 하나의 공격 계열입니다 s1. 전제 조건은 두 가지입니다. 악성 서버가 이미 에이전트에 연결되어 있어야 하고, 에이전트에게 대상 파일을 읽을 권한이 있어야 합니다 s1.

기업 쪽에서 Cloudflare는 개발자가 에이전트에 임의로 연결한 미승인 서버를 "shadow MCP"라고 부릅니다. 스펙 업데이트 이후 모든 규격 준수 MCP 클라이언트는 MCP-Protocol-Version 헤더를 보내고, Gateway는 분석 대상 TLS 트래픽 전체에서 이 헤더를 검사해 보안 팀에 고유 서버, 사용자, 요청량 대시보드를 제공합니다 s6. 최신 스펙 버전은 Mcp-Method와 Mcp-Name 헤더를 추가해, 요청 본문을 열지 않고도 요청된 작업과 tool 이름을 드러냅니다. 덕분에 네트워크는 에이전트가 티켓 하나를 읽는 것인지 쉰 개를 지우는 것인지 구별할 수 있습니다. Cloudflare의 규칙은 두 경우를 다룹니다. 승인된 적 없는 서버(순수 shadow MCP)와, 승인된 서버에 직접 접속하는 portal bypass이며, 둘 다 같은 기본 규칙으로 차단됩니다 s6.

비공개 베타로 공개된 WriteGuard는 모든 MCP 서버의 모든 tool을 위험 수준으로 분류하고 수준별로 다른 정책을 적용합니다. 읽기는 마찰 없이 통과합니다. 댓글 작성 같은 제한된 쓰기는 통과하지만 "특정 사람을 대신한 에이전트"로 서명되고 감사 이벤트가 중앙 로그로 전송됩니다. 코드 머지, 운영 배포, 대량 삭제 같은 치명적 작업은 서버가 처리하기 전에 차단됩니다 s7. 글에 나온 GitLab 예시에서는 merge request 읽기는 통과하고, 댓글은 작성자 표시와 함께 통과하며, 머지는 사람이 직접 할 때까지 거부됩니다. 에이전트는 자신이 대신하는 직원의 권한을 그대로 갖지만, 모든 쓰기에는 사람과 에이전트 세션이라는 두 개의 서명이 붙습니다. Cloudflare는 자사 내부 사용 사례도 밝힙니다. 사내 portal에는 MCP 서버 27개가 연결되어 있고, 4월에는 13개였습니다 s7.

한계는 분명합니다. WriteGuard는 가입 신청제 비공개 베타이고, Gateway 탐지는 TLS inspection이 켜진 Cloudflare Zero Trust 배포가 필요합니다 s7. 탐지는 복호화한 네트워크 트래픽만 볼 수 있습니다. 내 머신에서 일반 프로세스로 stdio 방식으로 도는 로컬 MCP 서버는 Gateway에 보이지 않으며, 개발자가 설치하는 서버 대부분이 이런 식으로 돕니다 s6. 이 도구들 중 어느 것도 GhostSplice가 드러낸 메커니즘 자체는 고치지 못합니다. ASSET 연구진은 해법이 tool 출력을 지시가 아니라 데이터로 취급하는 것이라고 말하지만, 이 분리는 아직 에이전트에 기본으로 존재하지 않습니다. 연구진의 권고는 세 가지입니다. 한 tool의 출력값이 검증 없이 다른 tool의 인자로 흘러가지 않게 막을 것, 각 tool 호출을 직접 거부할 수 있는 권한을 유지할 것, 검증되지 않은 서버의 주석은 기본적으로 적대적인 것으로 취급할 것입니다 s1.

판정: 무엇이 지켜 주고 무엇이 아닌가

통제 수단	대상	판정
모델의 거부	모두	방어책으로는 건너뛰세요: 한 덩어리면 100% 거부, 쪼개면 100% 수행 [s1]
클라이언트 측 보호	모두	유지: 같은 모델이 API에서는 거부하고 Cursor에서는 따랐음 [s1]
서버 인벤토리와 출처 확인	개인과 팀	유지: GhostSplice는 서버가 이미 연결되어 있어야 함 [s1]
서버별 전용 토큰, 범위 제한, 교체	개인과 팀	유지: 평문 토큰과 과도한 권한이 첫 번째, 두 번째 유출 경로 [s2]
MCP 의존성 버전 고정과 감사	개인과 팀	유지: mcp-remote는 400,000회 넘는 다운로드에 command injection을 실어 보냄 [s3]
Gateway 헤더 탐지 (MCP-Protocol-Version, Mcp-Method, Mcp-Name)	Zero Trust를 쓰는 기업	이미 TLS inspection을 운영 중이면 시도: stdio 서버는 보지 못함 [s6]
WriteGuard 위험 수준	기업	대기 명단에 올려 시도: 비공개 베타뿐 [s7]
모든 쓰기, 머지, 삭제에 사람의 승인	모두	유지: WriteGuard가 산업화한 것의 수제 버전 [s7]

월요일에 할 일

각 에이전트에 실제로 연결된 MCP 서버 목록을 뽑고, 지난 한 달 동안 쓰지 않은 서버는 모두 제거하세요.
남은 서버마다 누가 배포하는지 적어 두고, 유지하기 전에 내 데이터로 무엇을 하는지 읽어 보세요. 벤더가 아니라 어떤 스레드에서 알게 된 서버는 빼세요.
MCP 설정에 있는 공유 자격 증명이나 마스터 자격 증명을 모두 그 서버에 필요한 최소 범위의 전용 토큰으로 바꾸고, 교체 날짜를 적어 두세요.
MCP 설정 파일이 Git에 추적되고 있지 않은지 확인하고, 추적 중이면 .gitignore에 추가하세요.
설치하는 모든 MCP 패키지의 버전을 고정하고, lockfile에서 CVE-2025-6514에 해당하는 mcp-remote 버전이 없는지 확인하세요.
쓰기, 머지, 배포, 삭제를 하는 모든 tool에 수동 승인을 켜고, 쓰는 모든 클라이언트에서 켜 두세요.
서드파티 서버의 tool description을 한 번씩 검토하며, 여러분이 아니라 모델을 향한 지시가 있는지 찾아보세요.
Cloudflare Zero Trust를 쓴다면 TLS inspection을 켜고 MCP-Protocol-Version 헤더로 shadow MCP 대시보드를 만드세요.

더 읽어 보기

모델별, 클라이언트별 테스트 표와 연구진이 제안한 세 가지 완화책이 담긴 GhostSplice 전체 글을 읽어 보세요 s1.
같은 연구실이 6월에 낸 Ghostcommit을 찾아보세요. 지시가 PNG 파일에 어떻게 숨고, 훔친 시크릿이 소스 코드 안의 정수로 어떻게 인코딩됐는지 볼 수 있습니다 s1.
8월 17일 분석의 네 가지 유출 경로를 내 설정에 대조해 보세요: 평문 저장, 과도한 권한, 공급망, prompt injection s2.
CVE-2025-6514의 NVD 항목을 읽고, 스택의 OAuth 프록시를 신뢰하기 전에 영향받는 mcp-remote 버전을 확인하세요 s3.
NSA의 MCP 설계 고려 사항을 읽어 보세요. 에이전트 자동화를 도입하는 팀을 위해 쓰인, 벤더 중립적인 유일한 체크리스트입니다 s5.
Cloudflare를 쓰지 않더라도 Cloudflare 글의 MCP-Protocol-Version, Mcp-Method, Mcp-Name 헤더를 살펴보세요. 직접 운영하는 어떤 프록시에서든 기록할 수 있습니다 s6.
WriteGuard의 네 가지 위험 수준(read-only, minimal impact, contained write, critical)을 내 서버가 노출하는 tool의 검토 기준표로 빌려 쓰세요 s7.
공식 레지스트리 README를 훑어 게시에 무엇이 필요하고 무엇을 확인하지 않는지 파악하세요 s4.

출처

Malicious MCP servers can split exfiltration orders to bypass model refusals (GhostSplice), The Hacker News. 읽어야 하는 이유: 모델별, 클라이언트별 수치와 연구진의 완화책이 있는 유일한 곳입니다.
How MCP servers can expose enterprise secrets, The Hacker News. 읽어야 하는 이유: 네 가지 유출 경로가 순서대로 정리되어 있어 감사 체크리스트로 쓸 수 있습니다.
CVE-2025-6514: mcp-remote command injection, NIST NVD. 읽어야 하는 이유: 널리 설치된 최초의 MCP 공급망 결함의 영향 버전과 심각도를 확인할 수 있습니다.
Official Model Context Protocol registry, modelcontextprotocol on GitHub. 읽어야 하는 이유: 게시가 어떻게 이뤄지는지, 그리고 레지스트리에 있다는 것이 왜 신뢰 신호가 아닌지 보여 줍니다.
NSA releases security design considerations for AI-driven automation leveraging MCP, NSA. 읽어야 하는 이유: MCP를 대규모로 도입하는 팀을 위한 벤더 중립적 설계 가이드입니다.
Detecting and blocking shadow MCP at the protocol level, Cloudflare blog. 읽어야 하는 이유: MCP 트래픽을 네트워크에서 보이게 만드는 스펙 헤더를 설명합니다.
Bring secure MCP connectivity to your enterprise with MCP Server Portals and WriteGuard, Cloudflare blog. 읽어야 하는 이유: tool별 위험 모델과 이중 서명 신원 설계를 구체적인 GitLab 예시와 함께 설명합니다.

FAQ

더 안전한 모델을 쓰면 GhostSplice를 막을 수 있나요?

아니요. 이 공격은 한 덩어리로는 금지된 것을 요구하지 않기 때문에 거부 학습이 작동하지 않습니다. 같은 Claude Haiku 4.5가 API에서는 전부 거부했지만 Cursor 안에서는 100% 따랐습니다. 결과를 가른 것은 모델이 아니라 클라이언트의 보호 장치였습니다.

저는 개인 개발자인데, Cloudflare 도구 중 쓸 만한 게 있나요?

지금은 없습니다. Gateway 탐지는 TLS inspection이 켜진 Zero Trust 배포가 필요하고, WriteGuard는 비공개 베타이며, 둘 다 로컬 stdio 서버는 보지 못합니다. 위의 체크리스트가 같은 통제의 개인용 버전입니다.

공식 레지스트리에 등록된 서버는 안전한가요?

등록은 검증이 아닙니다. 레지스트리에는 중앙 심사 없이 9,600개 서버가 올라 있고, 에이전트는 레지스트리 항목을 벤더 tool만큼 신뢰합니다. 목록이 아니라 출처를 따지고 코드를 읽으세요.

가장 효과가 큰 변경 하나는 무엇인가요?

서버마다 범위를 최소로 좁힌 전용 토큰을 쓰고, 운영 시크릿처럼 교체하는 것입니다. 설정 파일 속 평문 마스터 자격 증명이 첫 번째 유출 경로이며, CVE-2025-6514부터 prompt injection까지 다른 모든 실패의 피해를 훨씬 키웁니다.