핵심 내용
2026년 7월 28일, 모델 맥락 프로토콜(MCP)이 엔터프라이즈급 스테이트리스 아키텍처로 공식 전환될 예정입니다.
스테이트리스 모델로 전환하고 풍부한 UI 앱과 비동기 작업을 도입함으로써 이 프로토콜은 이제 핵심 보안 경계를 구축하는 책임을 전적으로 개발자에게 넘기게 되었습니다.
이 업데이트는 프로토콜 수준의 세션 탈취, 원치 않는 서버 프롬프트, 취약한 인증 방법 등 주요 보안 취약점을 효과적으로 해결합니다.
하지만 애플리케이션 관리형 상태의 도입, 풍부한 인터랙티브 AI 인터페이스, 장시간 실행되는 비동기 작업은 새로운 악용 가능성을 열어줍니다.
이러한 새로운 기능이 제대로 보호되지 않으면, 고객 데이터에 대한 무단 접속, 신뢰할 수 있는 AI 경험을 악용한 피싱 공격, 기업 보안 시스템 우회, 그리고 백그라운드 프로세싱 워크플로의 악용을 통한 서비스 장애가 발생할 수 있습니다.
다가오는 MCP 2026-07-28 규격은 모델 맥락 프로토콜(MCP)이 시작된 이래로 가장 큰 아키텍처적 진화를 보여줍니다. 처음에는 단일 사용자를 위한 로컬 AI 통합 툴로 시작했지만, 이제는 엔터프라이즈급 클라우드 네이티브 배포를 지원할 수 있는 플랫폼으로 발전하고 있습니다.
2026년 5월 21일에 릴리스 후보 버전이 공개된 후, 최종 규격은 2026년 7월 28일에 출시될 예정입니다. 이와 함께 특정 레거시 기능에 대해서는 공식적으로 12개월의 지원 중단 기간이 적용됩니다.
공격 표면의 진화
이 엔터프라이즈급 기반을 구축하기 위해 이번 업데이트는 프로토콜의 데이터 처리 및 실행 방식을 완전히 개선합니다. 이는 다중 왕복 요청을 지원하는 스테이트리스 아키텍처, 표준화된 새로운 HTTP 헤더, 그리고 맥락 기반 메시징을 위한 범용 _meta 오브젝트를 지원합니다. 또한 이 규격에서는 MCP Apps와 비동기 작업이 공식화되고, OAuth 통합이 핵심 기능으로 격상됩니다.
이러한 기능에 대한 논의는 주로 확장성과 상호운용성에 집중되어 있지만, 해당 기능이 프로토콜의 공격 표면에 미치는 구조적 영향도 매우 중요합니다. 보안 모델이 변화함에 따라 기존에 존재하던 프로토콜 수준의 리스크 중 일부는 완화되거나 완전히 제거되고, 새로운 책임은 전적으로 MCP 애플리케이션 개발자에게로 넘어가게 됩니다(그림 1). 결국 이러한 변화는 기반을 강화하지만, 전체적인 보안 체계는 이제 구현 방식에 따라 좌우됩니다.
그림 1: 새로운 사양에서 MCP 공격 표면의 진화
축소되거나 제거된 공격 표면
이전 버전의 MCP는 프로토콜 기반 세션 관리, 서버 주도의 통신, 그리고 미흡한 인증 절차로 인해 여러 보안 취약점을 노출했습니다. 새로운 규격은 이러한 메커니즘 중 일부를 재설계하거나 제거해 프로토콜 수준의 공격 표면을 줄입니다. 이러한 메커니즘에는 다음이 포함됩니다.
프로토콜 수준 세션 탈취
원치 않는 서버 프롬프트
취약한 인증 방법
프로토콜 수준 세션 탈취
이전 MCP 버전에서는 Mcp-Session-Id 헤더를 사용해 장기간 유지되는 세션을 생성하는 스테이트풀(stateful) 초기화 프로세스를 활용했습니다. 이러한 세션 식별자는 일반적으로 공격자가 이를 확보하면 인증된 사용자를 사칭할 수 있기 때문에 고가치 표적이 됩니다.
새로운 규격은 프로토콜 관리형 세션을 완전히 제거해 이러한 특정 공격 기법을 차단합니다. 하지만 개발자들은 이제 자체적으로 안전한 상태 관리 메커니즘을 구축해야 합니다(이 부분은 이 블로그 글의 뒷부분에서 다룸).
원치 않는 서버 프롬프트
이전 MCP 버전에서는 서버가 서버 전송 이벤트를 통해 임의의 시점에 클라이언트에게 예상치 못한 요청이나 메시지를 전송할 수 있었습니다.
새로운 룰은 이러한 행위를 엄격히 제한해 감염된 서버가 사용자의 동의 없이 악의적인 상호작용을 통해 사용자를 방해하지 못하도록 합니다.
취약한 인증 방법
이번 업데이트는 엄격한 OAuth 2.1 요구 사항을 준수하도록 강제해 인증 관련 리스크를 크게 줄입니다. 레거시 비밀번호와 암묵적 권한 부여를 제거하고, PKCE(Proof Key for Code Exchange)와 같은 최신 보안 기술을 의무화함으로써, 이 프로토콜은 인증정보 및 토큰이 유출되거나 악용될 가능성을 대폭 낮춥니다.
이러한 변화들은 종합적으로 이전 MCP 배포 환경에서 존재했던 인증 관련 공격 표면과 세션 피해 범위를 획기적으로 축소합니다.
이 규격에서 새로 발생한 공격 표면
이 프로토콜은 여러 유형의 취약점을 제거하지만, 동시에 보안이 구현 품질에 크게 의존하게 되는 새로운 영역을 형성합니다. 여기에는 다음이 포함됩니다:
크로스 에이전트 워크플로 탈취
클라이언트를 통해 제어하는 메타데이터 조작
헤더 혼동 및 헤더를 통한 데이터 노출
MCP Apps와 저장된 크로스 사이트 스크립팅
장기 실행 백그라운드 작업의 악용 리스크
크로스 에이전트 워크플로 탈취
스테이트리스를 추구하다 보면 미묘한 보안 문제가 생깁니다. 기업 환경에서는 AI와의 상호작용이 요청을 위한 대화 한 번으로 끝나지 않고 여러 단계의 연속적인 과정이 필요한 경우가 많습니다. 예를 들면 다음과 같습니다.
명확한 설명 요청: 툴은 작업 중 필요한 정보가 부족할 경우 사용자에게 일시 중지를 요청할 수 있습니다.
진행 상황 확인: 오래 걸리는 작업의 경우 시스템이 주기적으로 업데이트를 요청해야 할 수 있습니다.
워크플로 일시 중지: 복잡한 프로세스는 인간의 승인을 기다리며 한 시간 동안 일시 중지되었다가 이전 상태 그대로 실행을 재개할 수 있습니다.
새로운 MCP는 스테이트리스이기 때문에 사용자 정보를 기억하는 데 영구 세션을 사용하지 않습니다. 그 대신, 서버가 클라이언트에게 전달하는 추적 식별자와 상태 오브젝트를 제공합니다. 클라이언트는 실행 흐름을 재개할 준비가 되면 해당 정보를 다시 전달하며, 이를 통해 클라이언트는 작업 상태를 완전히 제어할 수 있게 됩니다.
보안에 대해 우려하는 내용은 간단합니다. 이러한 추적 ID와 상태 오브젝트가 클라이언트로부터 직접 전달되기 때문에 서버에서 이를 무분별하게 신뢰할 수 없다는 점입니다. 그림 2는 MCP 서버가 예측 가능한 추적 ID를 사용하거나 수신된 상태 오브젝트의 무결성을 철저히 검증하지 않을 경우, 공격자가 이러한 값을 추측하거나 변조해 다음과 같은 작업을 수행할 수 있음을 보여줍니다.
다른 사용자의 활성 워크플로 탈취
다른 에이전트에 속한 정보에 접속
허가되지 않은 크로스 테넌트 작업 트리거
그림 2: 추적 ID 추측 및 상태 변조 과정 설명도
공식 MCP 규격은 개발자에게 이러한 오브젝트의 무결성을 검증하도록 명시적으로 경고하지만, 구체적인 표준이나 구현 방법을 제시하지 않고 보안 레이어 구축을 개별 서버 개발자에게 전적으로 맡기고 있습니다.
클라이언트를 통해 제어하는 메타데이터 조작
새로운 규격은 클라이언트가 거의 모든 MCP 메시지에 사용자 정의 메타데이터를 추가할 수 있도록 하는 _meta 오브젝트를 제공합니다. 심지어 요청을 단 한 번만 하더라도 공격자는 악의적인 키-값 쌍(예: {"tenant": "admin", "authenticated": true}을 공급할 수 있습니다.
이러한 필드에는 암호화 서명이 없기 때문에 서버가 이 메타데이터를 무분별하게 신뢰해 라우팅이나 인증 결정을 내릴 경우, 악의적인 요청 한 번만으로도 권한 상승이나 크로스 테넌트 데이터 접속이 즉시 가능해질 수 있습니다.
헤더 혼동 및 헤더를 통한 데이터 노출
이 규격은 MCP 요청을 일관되게 이해하고 올바르게 라우팅할 수 있도록 중개자, 프록시, 게이트웨이, 서버를 지원하는 MCP 전용 HTTP 헤더인 Mcp-Method와 Mcp-Name을 제공합니다.
하지만 이러한 헤더는 두 가지 새로운 보안 리스크를 초래합니다.
프로토콜 혼동(비동기화) 공격: 공격자는 HTTP 헤더와 JSON-RPC 요청 본문 간에 상충되는 값을 전송해 HTTP와 JSON-RPC라는 두 가지 통신 프로토콜 간의 불일치를 악용함으로써 백엔드 시스템의 동기화를 방해할 수 있습니다. 이러한 불일치는 프록시 및 백엔드 서버가 동일한 요청을 서로 다르게 해석하도록 속일 수 있으며, 공격자가 보안 통제를 우회하거나 모니터링을 회피하거나 악의적인 행위를 은폐할 수 있도록 합니다.
x-mcp-header를 통한 데이터 유출: 이 새로운 기능은 개발자가 특정 툴의 인자를 HTTP 헤더에 직접 매핑할 수 있도록 합니다. 이는 프록시가 전체 요청 본문을 파싱하지 않고도 트래픽을 더 빠르게 라우팅할 수 있도록 도와줍니다. 하지만 개발자가 실수로 API 키, 토큰, 개인 식별 정보(PII)와 같은 민감한 정보를 매핑하면 이러한 비밀 정보들이 헤더에 직접 전송됩니다. 그곳에 도달하면, 해당 정보가 경로상의 모든 부하 분산기, 프록시, 그리고 로깅 시스템에 노출됩니다.
MCP Apps와 저장된 크로스 사이트 스크립팅
MCP의 가장 흥미로운 업데이트 중 하나는 MCP Apps를 일급 프로토콜 확장 프로그램으로 전환한 것입니다. MCP Apps는 Claude Desktop과 같은 AI 애플리케이션에서 볼 수 있는 인터랙티브 비주얼 패널입니다. 여기에는 인터랙티브 양식, 대시보드, 문서 뷰어, 워크플로 및 작업 추적 화면 등이 포함됩니다.
이렇게 풍부한 인터페이스는 사용자 경험을 크게 개선하지만, 동시에 저장된 크로스 사이트 스크립팅(XSS)과 같은 기존 웹 브라우저의 보안 문제를 AI 생태계로 확장시키기도 합니다. 예를 들어, 공격자는 MCP 툴을 통해 악성 HTML 또는 JavaScript를 저장할 수 있습니다. 다른 사용자(또는 AI 에이전트)가 해당 콘텐츠를 열람하면 악성 스크립트가 앱 인터페이스 내부에서 자동 실행됩니다.
이번 MCP 규격은 악의적인 공격자가 AI 에이전트를 완전히 장악하는 것을 방지하기 위해 에이전트가 샌드박스화된 <iframe> 내에서 스크립트를 실행하도록 요구하지만, 사용자는 여전히 리스크에 노출됩니다. 공격자는 여전히 감염된 패널을 악용해 허위 정보를 표시하거나, 가짜 프롬프트를 통해 민감한 정보를 탈취하기 위한 피싱 공격을 수행할 수 있습니다. 또한 해당 패널에 표시된 사용자 데이터를 탈취해 자신의 서버로 전송할 수도 있습니다(그림 3).
그림 3: 저장된 XSS를 통한 MCP 앱 취약점 악용 사례 설명
장기 실행 백그라운드 작업의 악용 리스크
장기 실행 작업의 도입은 일방향 상호작용에 의존하는 대규모 서비스 거부(DoS) 공격 경로를 형성합니다. 클라이언트에서의 작업 생성은 비용이 적게 들지만 서버에서는 많은 리소스를 필요로 하기 때문에, 공격자는 단일 요청을 보내 CPU, 메모리, 데이터베이스 스토리지 등을 많이 소모하는 고비용 작업을 실행한 후 즉시 연결을 끊을 수 있습니다.
이러한 일방향 비동기식 악용 방법은 클라이언트가 접속을 종료한 후에도 서버가 과도한 작업을 처리하도록 강요해 서버 리소스를 쉽게 고갈시킵니다.
결론
MCP 2026-07-28 규격은 해당 프로토콜이 로컬에서 사용하던 것에서 기업 규모로 확대 적용되는 전환점을 의미합니다. 보안 관점에서 이러한 변화는 단순한 점진적 개선이 아닙니다. 이는 보안 책임 소재를 근본적으로 재정의합니다. 이전에는 프로토콜에 의해 강제되었던 보안 관련 결정은 점점 더 MCP 서버 개발자와 플랫폼 운영자에게 위임되고 있습니다.
클라우드 환경에서 MCP 도입이 가속화됨에 따라 가장 중요한 보안 문제는 더 이상 프로토콜 자체의 안전성 여부가 아닙니다. 보안팀은 해당 기술을 기반으로 구축된 애플리케이션이 새로운 신뢰 경계, 상태 관리 메커니즘, 그리고 규격에서 제시된 실행 모델을 올바르게 구현했는지 확인해야 합니다.
새로운 공격 표면을 효과적으로 보호하기 위해 보안팀은 클라이언트가 제공한 모든 상태 데이터와 메타데이터를 신뢰할 수 없는 인풋으로 간주해야 합니다. 이를 위해 엄격한 암호화 검증, AI 생성 비주얼 패널에 대한 아웃풋 인코딩, 그리고 비동기 작업에 대한 강력한 리소스 할당 제한을 적용해야 합니다.
이러한 변화에 효과적으로 대응하기 위해서는 악성 공격이 백엔드 인프라에 도달하기 전에 차단할 수 있는 선제적인 방어 아키텍처가 필수적입니다.
지금 연락하기
Akamai는 기업들이 지금 바로 행동에 나설 수 있도록 지원합니다. 기존의 엣지, API, 애플리케이션 보안 플랫폼을 기반으로 MCP 인지 인텔리전스 기능을 추가함으로써, 팀은 MCP가 발생하는 지점을 파악하고, 실험 과정에서 실질적인 안전 장치를 적용하며, 노출이 증가함에 따라 리스크를 효과적으로 관리할 수 있습니다.
이러한 접근 방식을 통해 기업은 최신 MCP를 도입할 수 있으며, 동시에 Akamai를 활용해 MCP 사용의 발전에 맞춰 보안, 가시성, 제어 기능을 지속적으로 개선할 수 있습니다.
태그
