일부러 뚫리게 만든 MCP 서버 실습장 등장

AI 에이전트가 어떻게 공격당하는지를 안전한 실험실에서 직접 겪어볼 수 있는 오픈소스 프로젝트가 공개됐다. 엠시플로이터블(mcploitable)은 일부러 취약하게 만든 MCP(Model Context Protocol) 서버 모음으로, 침투 테스트 훈련용 가상머신의 고전인 메타스플로이터블(Metasploitable)의 MCP판을 표방한다.

무슨 일인가

구성은 메일 비서, 분석 비서, 계정 복구 봇, 플러그인 매니저, 계산기, 기억을 가진 개인 비서, 멀티에이전트 오케스트레이터까지 겉보기엔 평범한 7개의 MCP 서버다. 각 서버가 진짜 취약점을 하나씩 조용히 품고 있다. 여기에 가이드 시뮬레이션 3종을 더해 OWASP 에이전틱 애플리케이션 톱10(ASI) 2026 전체를 실습으로 커버한다. 각 취약점은 실제 사건을 본떴다. 이메일 경유 프롬프트 주입으로 데이터가 새어나간 에코리크(EchoLeak, CVE-2025-32711), 수파베이스(Supabase) MCP 데이터 유출 사례, 텍스트-SQL 도구 바나AI(Vanna.AI)의 코드 실행 취약점(CVE-2024-5565), 솔라윈즈(SolarWinds)형 공급망 공격, 에이전트 메모리를 오염시키는 스파이웨어(SpAIware) 유형 등이다.

핵심 짚어보기 — CTF 대회와 다른 점

설계 철학이 눈에 띈다. 이 서버들은 자신이 표적이라는 사실을 모른다. 점수판도, 깃발도, 힌트 도구도 없다. 평범한 업무 도구처럼 행동하다가 공격이 먹히면 그냥 뚫린다. 실제 운영 환경에서 에이전트가 당하는 방식과 같게 만든 것이다. 실습은 동봉된 play 메뉴에서 시나리오를 고르고 공격 입력을 넣은 뒤 에이전트가 무너지는 과정을 관찰하는 식으로 진행된다. 일곱 개 중 하나는 실제 코드 실행까지 도달한다. 그래서 반드시 번들로 제공되는 네트워크 격리 도커(Docker) 컨테이너 안에서만 실행해야 하며, 실제 자격증명이나 데이터에는 절대 연결하면 안 된다. 이 서버들이 '유출'하는 정보는 전부 가짜다.

1인기업 실전 적용 포인트

• MCP 서버를 붙여 자동화를 굴리는 1인기업이라면 최소한 목표 탈취(ASI01)와 도구 오남용(ASI02) 두 시나리오는 직접 돌려보자. 내 에이전트가 어떤 식으로 속는지 눈으로 보는 것과 글로 읽는 것은 완전히 다르다.
• 출처 불명의 MCP 서버 설치가 왜 위험한지(ASI04 공급망)를 체험할 수 있다. 신규 MCP 도입 전 점검 목록을 만드는 근거 자료가 된다.
• 에이전트에 메모리 기능을 켜뒀다면 메모리 오염(ASI06)을 주목하자. 한 번 심긴 악성 지시가 이후 모든 세션에 영향을 줄 수 있다.
• 보안 교육이나 컨설팅을 파는 1인기업에는 이 프로젝트 자체가 교보재다. 격리 환경 시연으로 고객 설득 자료를 만들 수 있다.

전망 / 주의점

에이전트가 이메일, 데이터베이스, 결제까지 만지는 시대에 공격 표면은 코드가 아니라 '대화'로 넓어지고 있다. 이런 훈련장이 오픈소스로 나온 것은 방어하는 쪽에 반가운 일이지만, 격리 수칙을 지킨다는 전제가 붙는다. OWASP 에이전틱 톱10이 2026년판으로 정리된 지금이 자가 점검의 적기다.

출처: GitHub — agileAlligator/mcploitable (https://github.com/agileAlligator/mcploitable)