MCP 서버 90개, 보안 점수로 줄세웠다

에이전트에 도구를 붙이는 표준인 MCP(Model Context Protocol) 서버들이 과연 안전한가를 점수로 매긴 공개 리더보드가 등장했다. 캡프레임(CAPFRAME)은 공개된 MCP 서버 90개를 결정적 규칙 엔진으로 채점해 2026년 6월 28일 그 결과를 공개했다. 도구를 거리낌 없이 늘려 붙이는 에이전트 시대에, ‘권한 위생’을 객관적 수치로 들여다본다는 점에서 의미가 있다.

무슨 일인가

MCP는 클로드 같은 에이전트가 외부 도구를 호출하는 통로다. 붙이는 도구가 늘수록 공격에 노출되는 면적도 함께 커진다. 캡프레임은 100점에서 시작해 치명(Critical) 결함 −10점, 높음 −4점, 중간 −2점, 낮음 −1점으로 깎는 공개 공식을 쓴다. “블랙박스는 없다 — 공식도, 규칙도 오픈소스”가 원칙이다. 러스트(Rust)로 만든 v0.2.0이고, 실제 점검은 mcp-recon이라는 스캐너가 맡는다. 누구나 같은 규칙으로 결과를 재현·검증할 수 있다는 점이 핵심이다.

핵심 짚어보기

가장 흔한 감점 사유는 문자열 입력에 길이 제한(maxLength)이 없는 것이었다. 길이가 무제한인 문자열은 공격자가 임의의 페이로드, 즉 간접 프롬프트 인젝션 같은 악성 내용을 욱여넣는 통로가 된다. 98점에 걸린 서버 다수가 바로 이 한 가지 중간 등급 결함 때문이었다. 예를 들어 포스트그레스(Postgres) MCP 서버의 query 도구는 sql 인자에 길이 제한이 없었다. 엑사(Exa) 검색, grep.app, 아스트로(Astro) 문서 서버 등도 같은 지적을 받았다. 반대로 매직(magic)·클라우드플레어·e2b 같은 서버는 결함 없이 100점을 받아, 제약을 제대로 건 설계가 충분히 가능함을 보여줬다. 권고된 해법도 명확하다 — 문자열에 maxLength를 두거나 enum·pattern으로 허용 값을 한정하라는 것이다. 대부분의 정상 입력은 수백 바이트면 충분한 만큼, 무제한 허용은 편의가 아니라 빈틈에 가깝다는 지적이다. 입력 한 줄에도 보안 설계가 필요하다는 교훈인 셈이다.

1인기업 실전 적용 포인트

• 내 에이전트에 MCP 서버를 붙이기 전, 리더보드에서 점수와 결함부터 확인하라 — 점수가 낮으면 부여할 권한 범위를 다시 검토
• 직접 MCP 도구를 만든다면 모든 문자열 파라미터에 maxLength·enum·pattern 제약을 걸어 인젝션 입구를 막아라
• “수백 바이트면 충분한” 입력에 무제한 문자열을 허용하지 말 것 — 제약을 기본값으로 두는 습관을 들여라
• 채점 공식이 공개돼 있으므로, 사내 자체 MCP도 같은 규칙으로 정기 자가 점검 루틴에 넣어라

전망 / 주의점

점수가 높다고 절대 안전을 뜻하지는 않으며, 규칙 엔진이 잡아내는 표면적 결함에 한정된다는 한계가 있다. 비즈니스 로직 취약점이나 권한 남용까지 잡아주지는 못한다. 그럼에도 에이전트 도구의 ‘권한 위생’을 수치로 관리하는 접근은, 검증 인력 없이 도구를 빠르게 붙여 쓰는 1인 운영에 특히 필요한 최소한의 안전장치다.

출처: CAPFRAME (https://capframe.ai/leaderboard)