Sådan skal AI-værktøjer logge sikkert ind hos MCP-servere

MCP (Model Context Protocol) er en teknisk standard, der lader AI-programmer koble sig på eksterne værktøjer og data via en MCP-server. Når et AI-program skal bruge sådan en server, er det vigtigt, at kun de rette får adgang. Her kommer autorisation ind: Det er den del, der afgør, hvem der må hvad.

Autorisation er valgfri i MCP. Men hvis den understøttes, bør implementeringer, der kører over HTTP (almindelig webtrafik), følge den officielle specifikation fra 18. juni 2025. Løsninger, der kører lokalt via STDIO, bør i stedet hente legitimationsoplysninger fra miljøet, de kører i.

Byggen på OAuth

Specifikationen bygger på OAuth 2.1, en kendt metode til at give en app adgang uden at udlevere sin adgangskode. MCP-serveren er her den beskyttede ressource, mens AI-programmet er klienten. En separat autorisationsserver udsteder adgangstokens, altså digitale adgangsbilletter.

Nogle af kravene i specifikationen:

- Tokens skal sendes i en bestemt header i hver anmodning og må ikke stå i selve webadressen. - Serveren skal tjekke, at et token er udstedt netop til den, og afvise andre. Ugyldige eller udløbne tokens skal give fejlen 401. - Serveren må ikke give det token, den modtager, videre til andre tjenester. Disse kræver deres eget token. - Klienter skal bruge PKCE, som beskytter mod, at andre opsnapper eller indsætter koder under login. - Alle endpoints hos autorisationsserveren skal køre over HTTPS. - Adgangstokens bør have kort levetid og skal gemmes sikkert.

Specifikationen kræver også, at proxyservere indhenter brugerens samtykke, før de sender videre til tredjeparter. Det skal forhindre såkaldte confused deputy-angreb, hvor en mellemmand snydes til at bruge sine rettigheder forkert.

Guide fra OWASP

OWASP Gen AI Security Project udgav 16. februar 2026 en guide til sikker udvikling af MCP-servere. Den dækker blandt andet sikker arkitektur, inputvalidering, sessionsisolering og hærdet drift, og den henvender sig til softwarearkitekter, platformsingeniører og udviklingsteams.

Ifølge guiden adskiller MCP-servere sig fra traditionelle API'er ved at arbejde med delegerede brugerrettigheder og dynamiske, værktøjsbaserede arkitekturer. Derfor kan sårbarheder få større virkning, når værktøjskald kædes sammen.

For almindelige brugere betyder det, at AI-værktøjer med adgang til jeres data bør bygges på disse grundregler. Oplysningerne her er generelle sikkerhedskrav og ikke en trin-for-trin-vejledning.