MCP 도구의 보안 리스크와 프로덕션 안전성 확보 전략

MCP(Model Context Protocol)는 AI 에이전트가 외부 서비스와 동적으로 연결하는 표준으로 빠르게 확산되고 있지만, 프로덕션 환경에서는 보안과 비용 측면에서 심각한 리스크를 내포한다. Vercel 엔지니어링팀은 이 문제를 해결하기 위해 mcp-to-ai-sdk 도구를 공개했다. MCP 서버의 도구 정의를 정적 AI SDK 코드로 변환해 버전 컨트롤에 고정시키는 접근법으로, shadcn/ui 컴포넌트 모델에서 영감을 받았다.

핵심 포인트

MCP 프롬프트 인젝션: 침해된 MCP 서버가 도구 설명에 악성 지시를 삽입하면 에이전트가 해당 도구를 호출하지 않아도 실행될 수 있음
권한 상승 위험: 업스트림 업데이트로 read-only 도구에 삭제 기능이 추가되거나 민감 DB 쿼리가 노출될 수 있음 — 사전 검증 없이 배포에 반영
토큰 비용 폭증: GitHub MCP 서버는 도구 정의만으로 ~50,000 토큰 소비 — 대부분 실제 앱에서 불필요한 도구 포함
mcp-to-ai-sdk: shadcn/ui처럼 필요한 도구만 선택해 정적 로컬 코드로 생성 — PR을 통해 코드 리뷰 후 배포 가능
런타임은 여전히 업스트림 서버에 연결하되 스키마는 로컬 고정본 사용 — 유연성과 안전성 동시 확보

상세 정리

MCP는 에이전트가 외부 서비스 도구를 동적으로 페더레이션하는 강력한 표준이지만, 바로 그 동적 특성이 프로덕션 보안 문제를 야기
프롬프트 인젝션은 도구가 실제로 호출되지 않아도 도구 설명 텍스트 자체로 에이전트 행동을 조작할 수 있어 탐지와 방어가 특히 어려움
업스트림 MCP 서버 관리자가 무단으로 새 도구를 추가하거나 기존 스키마를 변경하면 에이전트가 이를 자동 수락하는 구조적 취약점 존재
GitHub MCP 서버의 경우 도구 정의만 ~50,000 토큰 — 실제 앱에서 필요한 도구는 소수임에도 전체 정의를 매 요청마다 컨텍스트에 포함
mcp-to-ai-sdk는 MCP 서버에서 필요한 도구만 선택해 로컬 AI SDK 도구 정의 파일로 생성 — shadcn/ui의 컴포넌트 추출 방식과 동일한 철학 적용
생성된 정적 도구 정의는 Git에 커밋되므로 업스트림 MCP 서버의 변경이 PR 코드 리뷰를 거치지 않고는 배포에 반영되지 않음
런타임은 여전히 업스트림 MCP 서버에 연결해 실행하되, 도구 스키마는 로컬 고정본 사용으로 변조 방지
도구 설명을 특정 모델에 맞게 커스터마이즈 가능 — 범용 설명 대신 각 에이전트의 사용 맥락에 최적화된 설명 작성
이 접근법은 AI 에이전트 툴체인의 공급망 보안(supply chain security) 개념을 코드 수준에서 실현한 사례로 볼 수 있음