Le Model Context Protocol (MCP) est un standard ouvert qui permet aux assistants IA de se connecter à des outils et des données externes, tels qu’un CRM, un compte d’analyse, un stockage de fichiers ou une base de données, via une interface commune. Les principaux risques sont les autorisations excessives, l’injection de prompts via le contenu lu par l’assistant, les serveurs tiers non fiables et une gestion faible des identifiants. Des règles de gouvernance doivent être définies avant le déploiement : quels serveurs sont approuvés, à quoi chacun peut accéder, qui approuve les actions d’écriture et comment l’activité est journalisée.
Anthropic a introduit MCP fin 2024 en tant que protocole ouvert, et il a depuis été adopté par d’autres fournisseurs d’IA et outils de développement. Un serveur MCP expose des outils, des ressources et des prompts ; un client MCP, tel que Claude, ChatGPT dans les modes pris en charge, ou un assistant IDE, s’y connecte. Une équipe marketing pourrait utiliser des serveurs MCP pour permettre à un assistant de lire des données Google Analytics, d’interroger une boutique Shopify, d’effectuer des recherches sur Google Drive ou de publier sur Slack.
Pourquoi MCP est-il important pour les équipes marketing ?
Avant MCP, connecter un assistant à chaque outil nécessitait une intégration personnalisée. MCP standardise cette connexion, de sorte qu’un assistant peut fonctionner sur de nombreux systèmes. Cela facilite grandement des tâches telles que l’extraction des résultats de campagne de la semaine dernière depuis la plateforme publicitaire et leur synthèse dans un document.
La même commodité est la source du risque. Un assistant ayant accès à dix systèmes peut causer dix fois plus de dégâts s’il est induit en erreur ou mal configuré.
Quels sont les principaux risques de sécurité ?
Injection de prompts
Si un assistant lit une page web, un e-mail ou un document contenant des instructions cachées, il peut les suivre. Combiné avec des outils MCP capables d’envoyer des messages ou de modifier des données, une instruction malveillante pourrait amener l’assistant à divulguer des informations ou à effectuer des actions indésirables. Des chercheurs en sécurité ont démontré de telles attaques contre plusieurs configurations MCP.
Autorisations trop larges
De nombreux serveurs s’authentifient avec un jeton unique qui accorde tout ce que l’utilisateur peut faire. Un assistant censé uniquement lire des rapports pourrait, via le même jeton, être capable de supprimer des campagnes.
Serveurs non fiables
N’importe qui peut publier un serveur MCP. Un serveur provenant d’une source inconnue pourrait journaliser des données, modifier ses descriptions d’outils après l’installation ou contenir du code vulnérable. L’exécution locale de serveurs non vérifiés leur donne accès à la machine.
Exposition des identifiants
Les clés API stockées dans des fichiers de configuration simples, partagées entre le personnel ou validées dans des dépôts sont une faiblesse courante. La spécification MCP a ajouté une autorisation basée sur OAuth pour les serveurs distants, mais les implémentations varient.
Quelles sont les limites pratiques de MCP ?
- Les assistants peuvent choisir le mauvais outil ou transmettre de mauvais paramètres
- Les extractions de données volumineuses peuvent dépasser les limites de contexte et être tronquées
- La qualité des serveurs varie considérablement ; certains sont maintenus par des fournisseurs, beaucoup par des particuliers
- Tous les clients ne prennent pas en charge toutes les fonctionnalités ou tous les transports MCP
- La journalisation d’audit est souvent laissée à l’auteur du serveur et peut être minimale
Quelles règles de gouvernance doivent être définies en premier ?
- Liste des serveurs approuvés : uniquement les serveurs officiels des fournisseurs ou ceux examinés en interne
- Lecture seule par défaut : les actions d’écriture et de suppression nécessitent une approbation explicite par cas d’utilisation
- Identifiants à privilèges minimaux : jetons séparés avec des portées minimales pour chaque serveur
- Confirmation humaine pour toute action qui envoie, publie, dépense ou supprime
- Pas de serveurs combinant la lecture de contenu non fiable avec un accès en écriture sensible dans une même session
- Journalisation : enregistrez quels outils ont été appelés, par qui et avec quel résultat
- Propriétaire par serveur : quelqu’un responsable des mises à jour et de l’examen des changements
La règle sur la combinaison des capacités mérite d’être soulignée. Un assistant qui navigue sur le web ouvert et qui a également la permission d’envoyer des e-mails aux clients est une combinaison à haut risque. Séparez-les ou exigez une confirmation pour chaque action sortante.
Comment une équipe doit-elle examiner un serveur MCP avant approbation ?
Vérifiez qui le publie, si le code est ouvert, quand il a été mis à jour pour la dernière fois et quelles autorisations il demande. Lisez les descriptions des outils, car ce sont effectivement des instructions pour le modèle. Testez-le dans un compte sandbox sans données client réelles avant de le connecter aux systèmes de production.
Préférez les serveurs distants avec OAuth et des autorisations limitées provenant du fournisseur de l’outil lui-même lorsque cela est disponible. De nombreuses plateformes majeures publient désormais des serveurs officiels.
Comment Alien Road applique le Model Context Protocol
Dans une mission typique, nous commençons par lister les tâches que le client souhaite qu’un assistant effectue et les systèmes que ces tâches touchent. La plupart des cas d’utilisation marketing, tels que le reporting, la recherche et la rédaction, ne nécessitent qu’un accès en lecture, ce qui façonne toute la configuration.
La configuration implique le choix de serveurs officiels ou examinés, la création d’identifiants limités pour chacun, la configuration de l’application cliente afin que les actions d’écriture nécessitent une confirmation, et la rédaction d’une politique d’une page listant les serveurs et propriétaires approuvés. Nous testons d’abord dans des comptes sandbox. Pour la mesure et le reporting, nous examinons les journaux d’appels d’outils avec le client, suivons le temps économisé sur les tâches couvertes et enregistrons toute action bloquée ou inattendue, afin que la gouvernance soit vérifiée par rapport à l’utilisation réelle plutôt qu’à des hypothèses.
À quoi ressemble un premier cas d’utilisation à faible risque ?
Un bon premier projet est un assistant de reporting en lecture seule. Il se connecte à Google Analytics, Search Console et à la plateforme publicitaire avec des portées de lecture uniquement, et produit un résumé hebdomadaire pour l’équipe. Rien ne peut être modifié, et le pire des cas est un résumé inexact qu’une personne vérifie avant de le partager.
Une fois que cela fonctionne bien, une équipe pourrait ajouter un accès en écriture à une seule destination à faible risque, comme la création de brouillons de documents dans un dossier partagé, toujours avec confirmation.
Comment MCP se rapporte-t-il aux règles de protection des données ?
Lorsqu’un assistant extrait des données client via un serveur MCP, ces données peuvent passer dans les systèmes du fournisseur d’IA. En vertu du RGPD et de la KVKK, le fournisseur devient un sous-traitant, et l’entreprise a besoin d’un accord de traitement des données et d’un objectif clair pour le transfert.
Vérifiez où le fournisseur d’IA traite les données, si les plans commerciaux les excluent de l’entraînement et combien de temps les journaux de conversation sont conservés. Pour les serveurs qui touchent aux données personnelles, préférez les requêtes agrégées, telles que les totaux de campagne, plutôt que d’extraire des enregistrements clients individuels dans la conversation.
Documentez ces choix dans la même politique qui liste les serveurs approuvés, afin qu’une seule page réponde aux questions de sécurité et de confidentialité.
Par où commencer cette semaine
Listez chaque serveur MCP ou connecteur IA actuellement actif dans les assistants de votre équipe, y compris les configurations personnelles. Pour chacun, notez qui l’a installé, quels identifiants il utilise et s’il peut écrire des données. Désactivez tout ce que personne ne peut expliquer, basculez les serveurs restants vers les portées les plus étroites disponibles et notez la règle d’approbation pour le prochain avant que quelqu’un ne l’installe.
Continuer la lecture : Optimisation par IA · Optimisation par IA