MCP 생태계의 구조와 보안 위협을 정리한 첫 체계적 분석

Model Context Protocol(MCP)이 업계 표준으로 빠르게 확산되던 2025년, 이 프로토콜의 구조와 보안 위협을 처음으로 체계적으로 정리한 연구가 이 논문입니다. MCP 도입을 검토하는 조직이 보안 관점의 점검 목록으로 삼을 수 있는 위협 지도를 제공합니다.

문제 배경

에이전트와 외부 도구의 연동은 오랫동안 서비스마다 제각각인 커스텀 통합에 의존했습니다. 모델과 도구의 조합마다 통합을 새로 만들어야 하니 도구가 늘수록 비용이 곱으로 늘어나는 구조입니다. Anthropic이 공개한 MCP는 모델과 외부 도구 사이의 양방향 통신과 동적 발견을 하나의 개방형 표준으로 통일하려는 시도이며 빠르게 생태계가 형성됐습니다. 그러나 표준화는 새로운 공격면도 함께 만듭니다. 누구나 서버를 만들어 배포할 수 있는 생태계에서 그 위험이 무엇인지 정리된 분석이 없었습니다.

방법

논문은 두 축으로 MCP를 분석합니다. 먼저 아키텍처 축에서 호스트, 클라이언트, 서버로 이루어진 구성 요소와 통신 구조를 정리하고, MCP 서버의 생명주기를 생성, 배포, 운영, 유지보수의 4단계와 그 아래 16개 핵심 활동으로 분해합니다. 다음으로 보안 축에서 이 생명주기 위에 위협 분류체계를 구축합니다. 공격자를 악의적 개발자, 외부 공격자, 악의적 사용자, 보안 결함의 네 유형으로 나누고 총 16개 위협 시나리오를 도출했으며, 실제 구현에서 공격면이 어떻게 나타나는지 사례 연구로 검증했습니다.

결과

분류체계에는 이름이 비슷한 서버로 사용자를 속이는 이름 충돌과 타이포스쿼팅, 도구 설명에 악성 지시를 심는 도구 오염, 설치 단계의 공급망 위험 같은 MCP 특유의 위협이 포함됩니다. 논문은 각 생명주기 단계와 위협 유형에 대응하는 구체적 보안 수칙을 제시하고, 산업 채택 현황과 통합 패턴을 포함한 생태계 지형 분석도 함께 제공합니다.

한계와 주의점

MCP 명세와 생태계가 빠르게 변하고 있어 개별 위협의 구체적 양상은 논문 발표 시점 이후 달라질 수 있습니다. 분류체계는 위협의 지도이지 자동화된 방어 수단이 아니므로, 실제 방어는 각 조직이 자기 환경에 맞게 수칙을 절차로 옮겨야 완성됩니다.

도입 검토 가이드

여러 사내 시스템을 에이전트에 연결할 계획이 있어 통합 비용 절감을 위해 MCP 채택을 검토하는 조직, 그중에서도 서드파티 MCP 서버 설치를 고려하는 조직에 해당합니다. 서드파티 서버 설치는 외부 코드에 사내 데이터 접근 권한을 주는 일이므로, 소프트웨어 공급망 심사 절차가 있는 조직이라면 MCP 서버를 그 심사 대상에 포함하는 것부터가 검토의 시작입니다.

구분	내용
검토 주체	외부 코드 도입을 심사하는 정보보안팀과 에이전트 연동을 구현하는 AI 플랫폼팀
전제 조건	서버 출처와 배포 경로를 검증하는 절차, 서버별 접근 권한을 최소로 제한하는 정책, 그리고 논문의 생명주기 4단계(생성, 배포, 운영, 유지보수)에 걸친 점검 항목을 자사 절차로 옮길 담당자
첫 적용 지점	사내에서 직접 개발한 서버나 출처가 검증된 공식 서버를 읽기 전용 도구부터 연결하는 것. 서드파티 서버는 논문이 지목한 이름 충돌, 타이포스쿼팅, 도구 오염 위협을 점검한 뒤에 단계적으로 추가합니다
판단 기준	논문의 16개 위협 시나리오를 점검 목록으로 삼아 신규 서버가 전 항목을 통과하는지, 그리고 도구 목록과 설명의 정기 감사에서 악성 지시 삽입 같은 오염이 발견되지 않는지. 서버 업데이트 시 재검증이 절차로 작동하는지도 함께 봅니다

서버 출처와 배포 경로 검증, 권한 최소화, 도구 목록과 설명의 정기 감사, 업데이트 시 재검증 절차를 함께 설계해야 하며, 코텍시스는 이 보안 절차를 포함한 MCP 기반 연동 구축을 지원합니다.