Yapay zekâ kullanımının hızla artması, bu sistemleri besleyen altyapının da benzer hızla değişmesine yol açıyor. Yeni standartlar ve bağlantı katmanları kısa sürede yaygınlaşırken, güvenlik ekiplerinin bu dönüşüme aynı tempoda ayak uydurması giderek zorlaşıyor. Son dönemde bunun en görünür örneklerinden biri MCP sunucuları oldu.
Anthropic tarafından Kasım 2024’te açık standart olarak duyurulan MCP, yapay zekâ ajanlarının dış araçlara ve veri kaynaklarına bağlanması için kısa sürede tercih edilen yöntemlerden birine dönüştü. Aralık 2025 itibarıyla 10.000’den fazla aktif herkese açık MCP sunucusunun çalıştığı, ayrıca AWS, Google Cloud ve Azure gibi sağlayıcıların dağıtım desteği sunduğu belirtiliyor. ChatGPT, Gemini, Microsoft Copilot, Cursor ve Visual Studio Code dahil önde gelen yapay zekâ platformları ve kodlama asistanları da artık MCP kullanıyor.
MCP’nin hızlı benimsenmesinin temel nedeni, yapay zekâ sistemleriyle harici araçlar arasında standart bir bağlantı ihtiyacını karşılaması. Bu yapı sayesinde ajanlar, asistanlar ve kodlama araçları her servis için ayrı bir özel bağlayıcı gerektirmeden, tek bir arayüz üzerinden birden fazla araç ve veri kaynağına erişebiliyor. Bu da entegrasyonu sadeleştiriyor ve kullanım alanlarını genişletiyor.
Ancak bu avantajlarla birlikte yeni bir saldırı yüzeyi de ortaya çıkmış durumda. Mevcut yapay zekâ savunmaları, ajanların hassas sistemlere ve araçlara dinamik biçimde eriştiği senaryolar için yeterince hazır değil. Özellikle MCP tarafında ortaya çıkan risklerin, destekleyici güvenlik çözümlerinin gelişim hızını aştığı görülüyor.
OWASP, MCP sunucularını etkileyebilecek çeşitli ciddi tehditleri tanımlıyor. Bunların başında tool poisoning geliyor. Bu saldırı türünde kötü niyetli talimatlar araç açıklamalarına, şemalara veya araç dönüş değerlerine gömülerek ajanın davranışı manipüle ediliyor. Böylece klasik prompt injection, araç katmanına taşınmış oluyor.
Rug pull saldırıları da yükselen yapay zekâ ekosistemine özgü dikkat çekici bir örnek. Burada saldırgan, bir araç insan tarafından onaylandıktan sonra tanımını değiştirerek oluşan güveni istismar ediyor. Tool shadowing ve cross-origin escalation benzeri saldırılarda ise kötü niyetli bir sunucunun araç tanımı kullanılarak ajanın güvenilir başka bir sunucuya ait araçları nasıl kullandığı etkilenebiliyor.
Bu açıkların teorik olmaktan uzak olduğu da vurgulanıyor. Check Point’in 2025’te satın aldığı yapay zekâ güvenlik şirketi Lakera’nın 10.000 MCP sunucusu üzerinde yaptığı analizde, sunucuların %40’ında istismar edilebilir zafiyet bulunduğu ifade ediliyor. Bu oran, ekosistemin ne kadar hızlı büyüdüğünü ve güvenlik hijyeninin aynı düzeyde ilerlemediğini gösteriyor.
Diğer tehditler daha tanıdık olsa da MCP bağlamında etkileri daha ağır olabiliyor. Saldırganlar, arama veya e-posta gibi meşru görünen araç çağrılarına hassas bilgileri gizlice ekleyerek veri sızdırma girişiminde bulunabiliyor. Ayrıca sunuculara görev için gerekenden daha geniş izinler verilmesi, saldırı durumunda daha büyük bir maruz kalma alanı yaratıyor.
Öte yandan mesele yalnızca MCP güvenliğinden ibaret değil. MCP, ajanların araçlara ve verilere ulaşmasının yollarından sadece biri. Bu nedenle MCP sunucularını korumak; tool poisoning, yetkisiz erişim ve veri ihlallerini azaltmak açısından önemli olsa da tek başına yeterli değil. Ajanlar MCP kullanmadan da başka sistemlerle etkileşime girebiliyor.
Piyasada bu boşluğu kapatmaya çalışan farklı yaklaşımlar bulunuyor. TrueFoundry, AI Gateway ile altyapı katmanında yönetişim, erişim kontrolü ve denetim özellikleri sunuyor. Cisco, AI Defense ürününe ajan odaklı koruma katmanları, MCP taraması ve gerçek zamanlı MCP trafiği incelemesi eklemiş durumda. Check Point’in Temmuz 2026’da tanıttığı AI Network Firewall ise daha ağ merkezli bir yaklaşım izliyor; MCP sunucularını keşfetme, MCP trafiğini inceleme ve ajan erişimi üzerinde politika uygulama gibi işlevleri mevcut güvenlik duvarı altyapısıyla birleştiriyor.
Genel tablo, altyapı çok hızlı ölçeklendiğinde güvenliğin geride kalma eğilimini bir kez daha doğruluyor. MCP’nin yükselişi, yapay zekâ tarafında standartlaşmayı hızlandırırken yeni ve özgün riskleri de beraberinde getiriyor. Bu aşamada hangi yaklaşımın baskın hâle geleceğinden çok, güvenlik ekiplerinin bu açığı MCP odaklı ciddi bir saldırı yaşanmadan önce kapatıp kapatamayacağı belirleyici olacak.
