Google, JPMorgan ve İki Devlet Kurumu Aynı MCP Açığında Buluştu

Yapay zeka ekosisteminin entegrasyon süreçlerinde hızla benimsediği yeni nesil standartlar, beraberinde siber güvenlik dünyasını sarsacak yapısal zafiyetleri de getiriyor. Bağımsız güvenlik araştırmacısı Syed Anas Mohiuddin tarafından yürütülen kapsamlı bir araştırma, teknolojide kod tabanları ve sahipleri tamamen farklı olan devasa kurumların bile aynı mimari hataları tekrarlayabileceğini kanıtladı. Google, JPMorgan Chase, Weaviate, Fransa’nın interministerial dijital direktörlüğü DINUM ve Endonezya’nın Tangerang şehir yönetimi gibi birbirinden bağımsız dev yapılar, Model Context Protocol (MCP) sunucularında ortaya çıkan aynı tip güvenlik açıklarını kapatmak zorunda kaldı. Bu durum, yapay zeka ajanlarının dış dünya ile iletişim kurarken kullandığı standartların ne denli büyük bir saldırı yüzeyi barındırdığını gözler önüne seriyor.

Model Context Protocol Nedir ve Tehlike Nereden Kaynaklanıyor?

Model Context Protocol (MCP), yapay zeka ajanlarının harici araçlara, veritabanlarına ve veri kaynaklarına erişmesini, bunları sorgulamasını sağlayan kritik bir açık standart olarak geliştirildi. Ancak bu protokolün temel çalışma prensibi, güvenlik uzmanlarını uzun süredir endişelendiren yapısal bir riski barındırıyor. Bir MCP sunucusu, yapay zeka ajanından gelen bir URL'yi, dosya yolunu veya uç noktayı (endpoint) doğrudan alarak, adresin gerçekte nereye çözümlendiğini veya güvenli olup olmadığını kontrol etmeden giden bir istek (outbound request) inşa ediyor.

Bu mimari boşluk, ajanı yönlendiren kötü niyetli aktörlerin, sunucunun şirket içi hassas sistemlerle veya dahili ağlarla iletişim kurmasını tetiklemesine olanak tanıyor. Araştırmacı Syed Anas Mohiuddin, mayıs ayında bu sorunun tesadüfi bir kodlama hatası olmadığını, aksine protokolün yapısından kaynaklanan mimari bir kusur olduğunu savunmuştu. Bir bulut devi (hyperscaler), küresel bir banka ve ulusal devlet kurumlarının hiçbir ortak kod tabanı veya sahibi olmamasına rağmen aynı hatayı tekrarlaması, bu teorinin somut bir gerçeğe dönüştüğünü kanıtladı.

Google ve JPMorgan Çeperinde Görülen Kritik Zafiyetler

Güvenlik raporlarının odak noktasında yer alan Google'ın MCP Toolbox for Databases ürünü, HTTP istemcisinde kısıtlayıcı bir yönlendirme politikasına (redirect policy) ve hedef IP adreslerini denetleyen bir mekanizmaya sahip olmadığını, GitHub bildirimleriyle ortaya koydu. Hazırlanan özel bir yol (path) parametresi, isteklerin doğrudan dahili veya harici uç noktalara yönlendirilmesine zemin hazırlayabiliyordu. CVE-2026-14540 olarak kayıtlara geçen ve 8.0 gibi yüksek bir önem derecesine sahip olan bu zafiyet, 0.3.0 ile 1.4.0 arasındaki sürümleri etkiledi. Google, yayımladığı acil yama ile DNS rebinding saldırılarına karşı koruma katmanı eklerken, izin verilen ve engellenen IP aralıkları listesini devreye soktu.

Finans devlerinden JPMorgan Chase tarafında ise durum benzer bir mimari entegrasyon hatasını işaret ediyor. Kurumun açık kaynaklı deposunda yer alan ve belgelerde arama yapmayı sağlayan bir MCP sunucusunun iki farklı aracı bulunduğu tespit edildi. Bu araçlardan biri alan adlarını bir izin listesine (allowlist) göre kontrol ederken, kardeş aracı çağrının sağladığı herhangi bir URL'yi doğrudan sorguluyordu. JPMorgan ekibi, AWS tabanlı açık kaynaklı bir bileşenden çatallanan (fork) bu yapının, orijinal projede asla çağrı sahibinin URL'sini fetch etmediğini ancak entegrasyon sürecinde bu güvenliğin atlandığını doğrulayarak orta seviyeli zafiyet için yama yayımladı.

Küresel Çapta Kamu ve Özel Sektör Yamaları

Güvenlik zafiyetlerinin zincirleme etkisi sadece özel sektörle sınırlı kalmadı. Fransa’nın interministerial dijital direktörlüğü olan DINUM’un, ülkenin açık veri platformu için geliştirdiği resmi MCP sunucusu da benzer bir açığa ev sahipliği yapıyordu. Veri üreticileri tarafından sağlanan URL'leri çeken bu sunucu, adreslerin doğrudan dahili sistemlere veya bulut sağlayıcılarının meta veri adreslerine yönlendirilmesine imkan tanıyordu. DINUM, "harici API'lerde SSRF güvenliğinin sertleştirilmesi" başlığıyla yayımladığı yamayla bu açığı kapattı.

Endonezya’nın Tangerang şehir yönetiminin Wazuh MCP sunucusunda ise durum daha da ilginçti. Sunucu aracı, belgelendirmelerinde SSRF korumasına sahip olduğunu iddia etmesine rağmen, yalnızca düz metin IP adreslerini reddediyor, ana bilgisayar adlarını (hostnames) çözmüyordu. 3 Eylül'de yayımlanan yüksek önem dereceli güvenlik danışmanlığı ile bu açık giderildi. Öte yandan Rapid7, Bulk Export MCP sunucusunda bulduğu CVE-2026-97228 numaralı farklı bir hatayı yamadı; bu hata, operatörün kendi erişim alanı içerisinde GraphQL enjeksiyonuna izin veriyordu ve düşük önem seviyesiyle sınıflandırıldı.

Hâlâ Kapatılmamış Kritik Açıklar ve 'Protocol Pivoting' Tehlikesi

Tehdit manzarasının tamamı henüz temizlenmiş değil. Syed Anas Mohiuddin, 2 Eylül tarihinde ABD Genel Hizmetler İdaresi'nin (GSA) Teknoloji Dönüşüm Servisleri bünyesindeki beş ayrı MCP sunucusunda özel olarak açık bildiriminde bulundu. Gazi İşleri (Veterans Affairs) fayda talepleri, CMS Blue Button, regulations.gov, USASpending ve CDC PLACES gibi hassas sistemleri barındıran bu sunucular henüz yama sürecini tamamlamadı ve inceleme (triage) aşamasında bekliyor. Özellikle Gazi İşleri vakasında, sunucunun fayda API'sinden gelen tam hata yanıtlarını hiçbir sansür uygulamadan logladığı; bu logların gazilerin adını, Sosyal Güvenlik numarasını, doğum tarihini ve açık adresini içerebildiği belirtiliyor. Japonya Dijital Ajansı'nın kimlik doğrulama gerektirmeyen hibeler sunucusuyla ilgili raporu da halen açıkta duruyor.

Araştırmacı bu geniş saldırı sınıfını "protocol pivoting" (protokol değiştirme/eksenleme) olarak nitelendiriyor. Saldırgan, bir MCP aracının döndürdüğü içeriğin içerisine, Google’ın A2A protokolü için tasarlanmış bir görev gibi görünen kötü niyetli metinler yerleştiriyor. Orkestrasyonu yürüten üst düzey yapay zeka ajanı, bu veriyi alt ajana aktarıyor ve alt ajan, ana ajana güvendiği için talimatı sorgulamadan uyguluyor. Rapid7'den güvenlik istihbaratı direktörü Douglas McKee ve X41 D-Sec'ten Markus Vervier, bu tekniğin siber güvenlik dünyasında bilinen dolaylı komut enjeksiyonunun (indirect prompt injection) çok daha gelişmiş ve sinsi bir formu olduğuna dikkat çekiyor. Sektör, 23 Ekim'de San Jose'de düzenlenecek MCPCon North America konferansında bu bulguların derinlemesine tartışılmasına hazırlanıyor.

Güvenlik Perspektifinden Geleceğe Bakış

Yapay zeka ekosisteminin hızla otonomlaşması ve sistemlerin birbirleriyle doğrudan konuşmaya başlaması, geleneksel siber güvenlik paradigmalarını kökten değiştiriyor. Kod tabanları arasında köprü kuran standart protokollerin, doğru güvenlik sınırları ve katı doğrulama mekanizmaları olmadan tasarlanması, en büyük teknoloji devlerini bile savunmasız bırakabiliyor. Kurumların açık kaynak kodlu bileşenleri projelerine dahil ederken yürüttükleri denetim süreçlerini yapay zeka ajanlarının otonom davranış modellerini kapsayacak şekilde genişletmesi, önümüzdeki dönemin en kritik hayati zorunluluğu olarak öne çıkıyor.