Un server MCP dà a un modello di intelligenza artificiale la possibilità di agire su sistemi reali, quindi va trattato come un nuovo utente con accesso ai dati. Le regole sono cinque: permessi minimi, credenziali dedicate, conferma umana sulle azioni, registro di ogni operazione, cautela con i server scritti da altri. Che cos'è un server MCP è spiegato nella guida su che cos'è un server MCP.
Quali sono le cinque regole?
- Permessi minimi. Il server espone solo le funzioni necessarie al caso d'uso. Se basta leggere, niente scrittura.
- Credenziali dedicate. Un'utenza di servizio con i soli permessi del caso d'uso, mai le credenziali di un amministratore o di una persona. Per i server raggiungibili in rete la specifica prevede un'autorizzazione basata su OAuth 2.1, da preferire alle chiavi fisse (specifica MCP, autorizzazione).
- Conferma umana sulle azioni. Creare, modificare o cancellare passa da una conferma, almeno nei primi mesi.
- Registro. Ogni operazione del server finisce in un registro con utente, ora, funzione, parametri ed esito.
- Cautela con i server di terzi. Un server MCP scaricato da internet esegue codice nella tua rete. Va letto prima di installarlo, come qualunque software.
Che cos'è la prompt injection?
La prompt injection è un attacco in cui un testo nascosto dentro un documento, una email o una pagina web prova a dare istruzioni al modello. Se il modello ha accesso a un server MCP, quelle istruzioni possono tradursi in azioni: leggere dati che non dovrebbe, inviarli fuori, modificare un record. L'OWASP la mette al primo posto fra i rischi delle applicazioni basate su modelli linguistici, e mette al sesto l'agentività eccessiva, cioè un sistema con più permessi del necessario (OWASP Top 10 for LLM Applications, 2025).
Come si riduce il rischio?
Non esiste un filtro che blocchi ogni prompt injection, quindi si limita il danno possibile. Permessi minimi: se il server non può cancellare, un'istruzione nascosta non può far cancellare niente. Conferma umana: un'azione insolita la vede una persona prima che diventi definitiva. Separazione: un agente che legge email di sconosciuti non dovrebbe avere accesso in scrittura al gestionale nella stessa sessione. Registro: se qualcosa va storto si ricostruisce che cosa è successo.
Come si valuta un server MCP scritto da altri?
Prima di installarlo si legge il codice, o lo legge qualcuno di cui ti fidi: che cosa fa, verso quali indirizzi si collega, quali permessi chiede. Si installa una versione precisa, non l'ultima disponibile in automatico, e la si aggiorna solo dopo aver riletto le modifiche. Un server che chiede più permessi di quelli che il suo scopo giustifica è un segnale da prendere sul serio. Le stesse regole valgono per i server costruiti in casa, come quelli per i gestionali italiani.
Domande frequenti su server MCP
Un server MCP è sicuro?
Lo è quanto i permessi che gli dai e i controlli che ci metti intorno. Il protocollo in sé non decide che cosa il modello può fare: lo decide chi configura il server. Un server in sola lettura con un'utenza dedicata e un registro è a basso rischio. Un server con credenziali da amministratore e nessuna conferma è un rischio serio.
Come si protegge un server MCP dalla prompt injection?
Limitando quello che il modello può fare, perché un filtro perfetto non esiste. Si danno permessi minimi, si chiede conferma umana sulle azioni che modificano dati o escono dall'azienda, si separano gli agenti che leggono contenuti esterni da quelli che scrivono nei sistemi, e si tiene un registro di ogni operazione.
Si possono installare i server MCP che si trovano online?
Sì, dopo averli letti. Un server MCP è software che gira nella tua rete con accesso ai tuoi sistemi: va valutato come qualunque altro software di terzi, verificando autore, codice, collegamenti esterni e permessi richiesti, e installato in una versione precisa.
Fonti
Scritto da
Co-founder, CTO e COO di Deepelse
Giovanni Vanini è co-founder di Deepelse, dove guida la parte tecnica e operativa: architetture degli agenti, scelta dei modelli, integrazioni con gestionali e CRM, agenti vocali.
