"AI 에이전트한테 시킬 일 있으면 MCP 서버만 연결하면 된다던데요. 그래서 저희도 ERP에 MCP 붙여서 김 부장님 결재 자동화해놨어요."
지난주 한 제조업체 IT 실무자의 말이다. 문제는 그 MCP 서버 설정 파일에 GitHub API 키, Slack 봇 토큰, AWS 액세스 키가 평문으로 박혀 있었다는 점이다. GitGuardian의 2026년 보고서에 따르면, GitHub에 올라온 MCP 설정 파일에서 24,008개의 시크릿이 발견됐고, 그중 2,117개가 유효한 상태였다 [출처: GitGuardian State of Secrets Sprawl 2026].
이걸 발견한 건 평균 277일 후다. 그리고 그 사이에 이미 침해가 발생했다. IBM 2025 Cost of a Data Breach 보고서 기준으로, API 키 하나가 유출됐을 때 기업이 입는 평균 피해액은 미국 $10.22M(약 148억원), 글로벌 평균 $4.44M(약 64억원) 이다 [출처: IBM Cost of a Data Breach 2025]. 한국 중견기업이라 보수적으로 잡아도 1억~5억원 사이의 직접 피해가 발생한다.
2025~2026 MCP 보안 사고 연대기 — 단 12개월간 무슨 일이 있었나
Authzed가 정리한 MCP 보안 침해 타임라인을 보면, 2025년 4월부터 2026년 6월까지 불과 14개월 동안 CVSS 9.0 이상의 크리티컬 취약점만 4건이 보고됐다 [출처: Authzed Timeline of MCP Breaches].
사례 1: Axios npm 하이재킹 — AI 코딩 도구 자체가 감염 경로 (2026년 3월)
북한 해킹 그룹 UNC1069가 주간 1억 건 이상 다운로드되는 Axios npm 패키지를 탈취했다. 이 패키지를 받는 것만으로도 Cursor, Claude Code, Windsurf, VS Code 사용자들의 AI 코딩 어시스턴트에 rogue MCP 서버가 심어졌다. 감염된 AI는 WAVESHAPER.V2 백도어를 통해 공격자에게 전체 코드베이스와 API 키를 유출했다 [출처: Lorikeet Security].
이 공격의 무서운 점은 탐지까지 2주가 걸렸다는 것이다. 그 2주 동안 1,184개의 악성 스킬이 ClawHub 마켓플레이스에 등록됐고, 어떤 기업이 얼마나 피해를 봤는지는 아직도 완전히 파악되지 않았다.
사례 2: n8n-mcp IDOR — "내 워크플로우가 왜 남의 회사에?" (2026년 6월)
Manifold Security가 발견한 CVE-2026-54052는 단순했다. n8n-mcp 서버(주간 12만 다운로드)에서 API 요청의 정수 ID만 바꾸면 다른 회사의 워크플로우 백업 전체를 다운로드할 수 있었다. 백업 파일에는 Bearer 토큰, 데이터베이스 접속 정보, 클라우드 API 키가 그대로 포함돼 있었다 [출처: Manifold Security].
CVSS 9.6. 더 충격적인 건 이 취약점이 threat model 문서에 명시된 위협이었다는 점이다. "크로스 테넌트 접근 가능성"이라고 이미 경고했지만, SQLite 구현 단계에서 그 경고가 무시됐다.
사례 3: Smithery 호스팅 침해 — 3,000개 앱이 한 번에 (2025년 10월)
MCP 서버 호스팅 플랫폼 Smithery에서 Fly.io API 토큰이 탈취됐다. 3,000개 이상의 MCP 애플리케이션이 영향을 받았고, 공격자는 모든 호스팅 컨테이너에 대한 제어권을 획득했다. MCP 생태계의 중앙 집중형 인프라 취약성을 여실히 보여준 사례다 [출처: Authzed].
왜 MCP가 이렇게 취약한가 — "실행 먼저, 검증 나중"
MCP 명세 자체가 "프로토콜 수준에서 보안을 강제하지 않는다"고 명시한다. SentinelOne의 한국어 가이드는 이렇게 정리한다: "모든 것을 믿고 실행하는 프로토콜" [출처: SentinelOne MCP Security Guide].
실제 취약점 통계가 이를 입증한다. Practical DevSecOps의 2026년 리포트에 따르면:
- OAuth 인증을 사용하는 MCP 서버는 8.5% 뿐. 53%는 정적 API 키를 그대로 사용 중
- 79% 가 환경변수로 키를 전달 — 한 번 침투하면 모든 키 탈취 가능
- 492개 MCP 서버가 인증·암호화 없이 인터넷에 직접 노출 (Trend Micro)
- 7,374개 서버가 Shodan에서 공개 접근 가능 상태
Elastic Security Labs의 분석은 더 섬뜩하다. MCP 공격은 기존 경계 보안으로 탐지할 수 없는 "자연어 수준 의미적 공격" 이다. 예를 들어, MCP 도구 설명에 난독화된 악성 명령을 숨기면 LLM이 스스로 그 명령을 실행한다. 방화벽도, IDS도 이걸 잡지 못한다 [출처: Elastic Security Labs — MCP Tools Attack & Defense].
방어 전략 — 오늘 당장 할 수 있는 5가지
Gartner는 2028년까지 기업 침해의 25%가 AI 에이전트 남용에서 비롯될 것이라고 전망한다. 지금부터 준비하지 않으면 2년 후 뉴스에 나올 다음 사례가 당신의 회사일 수 있다 [출처: Gartner].
1. MCP 설정 파일에서 평문 키 제거 (지금 당장)
~/.cursor/mcp.json, ~/.claude/mcp.json, ~/.config/github-copilot/ — 이 디렉토리들에 평문 API 키가 있는지 확인하라. VaultProof 같은 도구로 Shamir's Secret Sharing 기반 키 분산 저장을 적용하면, 설정 파일이 유출돼도 공격자가 복원할 수 없는 구조를 만들 수 있다. IBM 보고서에 따르면 API 키 평균 교체 주기는 180일, 탐지까지 277일 — 공격자가 키를 가진 기간이 최소 97일이라는 뜻이다.
2. OAuth 강제 + 최소 권한
정적 API 키 대신 OAuth 2.0을 적용하라. 특히 ERP·결제·고객 데이터에 접근하는 MCP 서버는 반드시다. IBM 2025 보고서는 "97%의 AI 관련 침해 사고가 적절한 접근 제어 부재에서 발생했다"고 지적한다.
3. STDIO → HTTP 전환 시 TLS 필수
Trend Micro가 발견한 492개 노출 서버의 공통점은 STDIO 기반 MCP 서버를 HTTP로 래핑하면서 TLS를 적용하지 않았다는 점이다. mcp-remote를 사용한다면 반드시 TLS를 켜라. OpenAI의 Secure MCP Tunnel(2026년 7월 공개)도 검토할 만하다.
4. MCP 서버 스캔 도입
OWASP MCP Top 10과 CISA 공동 지침을 기반으로, 사내 MCP 서버에 대한 정기 취약점 스캔을 도입하라. Practical DevSecOps 보고서에 따르면, 스캐너에 따라 MCP 서버의 30~82%가 취약점을 보유하고 있다.
5. 도구 중독(Tool Poisoning) 탐지 체계 구축
기존 SIEM/SOAR로는 MCP 수준의 도구 중독 공격을 탐지할 수 없다. Elastic Security Labs가 제안한 것처럼, AI 에이전트가 실행한 모든 도구 호출을 행위 기반으로 분석하는 별도 파이프라인이 필요하다. 단 돈 몇천만원짜리 엔지니어 한 명의 시간으로 수억원의 데이터 유출을 막을 수 있다.
"우리 회사도 MCP 쓰는데…" — 지금 당장 확인할 3가지
"대기업도 아니고 우리가 해킹당할 일이 뭐 있겠어"라고 생각한다면, 492개 서버가 인증도 없이 인터넷에 떠다니는 현실을 기억하자. 해커는 표적을 가리지 않는다. 그저 열려 있는 문을 찾을 뿐이다.
find . -name "mcp*.json" -type f— 회사 레포지토리 전체에서 MCP 설정 파일을 찾아보라.- 각 파일에서
API_KEY,TOKEN,SECRET문자열을 grep하라. - 발견됐다면 팀과 함께 오늘 중으로 교체 일정을 잡아라.
277일 후에 발견하는 것보다, 오늘 10분 동안 찾는 게 1억 4천만 원을 아끼는 길이다.