Stream Vessel MCP sunucularında kimlik avını önleyen yeni OAuth mimarisini duyurdu
Öne çıkanlar
- Test edilen 119 MCP sunucusunun yüzde 95,8'i anonim yönlendirme adreslerini filtresiz kabul ediyor.
- Stream Vessel yönlendirme denetimini istemci kaydında değil, kullanıcının oturum açtığı yetkilendirme sayfasında çalıştırıyor.
- Kullanıcılar kendi hesapları için en fazla 10 özel https yönlendirme adresine manuel onay verebiliyor.
- Güvenli listeden silinen bir adrese ait tüm aktif oturum izinleri ve uçuş halindeki kodlar derhal iptal ediliyor.
Stream Vessel ekibi, Model Context Protocol (MCP) sunucularında istemci kayıtları sırasında ortaya çıkan kimlik avı ve açık yönlendirme zafiyetlerini önlemek amacıyla kullanıcı bazlı güvenli yönlendirme mimarisini uygulamaya aldı. Standart OAuth akışında anonim istemcilerin serbestçe yönlendirme adresi kaydetmesine izin veren sistemler, saldırganların tek bir bağlantıyla kullanıcı yetkilerini ele geçirmesine zemin hazırlıyor. Sunucu yöneticilerinin sabit izin listeleri kullanması ise geliştiricilerin kendi bağımsız yapay zeka ajanlarını bağlamasını engelliyor.
Yayımlanan araştırmalar, test edilen 119 OAuth destekli MCP sunucusunun yüzde 95,8'inin anonim taraflardan gelen rastgele yönlendirme adreslerini kabul ettiğini ortaya koydu. Ocak 2026'da Square ve n8n gibi platformlarda raporlanan güvenlik açıkları, bu zafiyetin gerçek saldırılarda hassas verilere erişim sağladığını gösterdi. Stream Vessel, istemci kayıt aşamasında her https adresini kabul edip asıl doğrulama kararını kullanıcının oturum açtığı yetkilendirme anına erteleyen yeni bir denetim mekanizması geliştirdi.
Geliştirilen sistemde kullanıcılar kendi hesapları için en fazla 10 adet özel yönlendirme adresini güvenli olarak işaretleyebiliyor. Yeni bir adres eklemek için kullanıcının ana makine adını doğrudan klavyeyle yazması gerekiyor; yetkisiz yönlendirmeler ise sunucu üzerinde hata sayfasıyla durduruluyor. Bir adres güvenli listeden kaldırıldığında, o adrese bağlı mevcut tüm yetkiler ve işlemdeki geçici kodlar derhal iptal ediliyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.