Mengamankan Model Context Protocol (MCP): Panduan Menangkal Tool Poisoning dan Prompt Injection pada Agen AI

Dalam dua tahun terakhir, agen AI berhenti sekadar menjawab pertanyaan dan mulai bertindak: membaca basis data, mengirim email, membuat tiket, hingga menjalankan perintah di server. Yang membuat lompatan ini mungkin adalah Model Context Protocol (MCP) — sebuah standar terbuka yang menghubungkan model bahasa besar (LLM) dengan tools dan sumber data eksternal. Bagi banyak organisasi di Indonesia yang kini bereksperimen dengan asisten internal dan otomasi berbasis LLM, MCP telah menjadi tulang punggung yang nyaris tak terlihat. Namun di balik kemudahannya, MCP membuka permukaan serangan yang benar-benar baru. Artikel ini membedah cara kerja ancaman tool poisoning dan prompt injection pada ekosistem MCP, serta kerangka pertahanan yang bisa Anda terapkan.

Apa Itu MCP dan Mengapa Adopsinya Meledak

MCP diperkenalkan Anthropic pada November 2024 sebagai protokol terbuka yang menstandarkan cara aplikasi AI menyediakan konteks dan tools kepada model. Analoginya sederhana: jika setiap integrasi AI-ke-aplikasi sebelumnya harus dibangun khusus (seperti kabel yang berbeda untuk setiap perangkat), MCP berperan seperti port USB-C universal untuk agen AI.

Adopsinya berlangsung sangat cepat. OpenAI mengadopsi MCP pada April 2025, Microsoft mengintegrasikannya ke Copilot Studio pada Juli 2025, dan AWS menyusul pada November 2025. Unduhan SDK bulanan melonjak dari sekitar 100 ribu saat peluncuran menjadi sekitar 97 juta pada Maret 2026. Pada Desember 2025, Anthropic menyerahkan tata kelola protokol ini ke Agentic AI Foundation di bawah naungan Linux Foundation, bersama Block dan OpenAI sebagai co-founder serta Google, Microsoft, AWS, dan Cloudflare sebagai peserta. Ekosistemnya pun membengkak: sebuah sensus independen dari Nerq pada kuartal pertama 2026 mengindeks lebih dari 17.000 server MCP di berbagai registry.

Ledakan adopsi inilah yang menjadikan MCP sasaran menarik. Ketika satu protokol menjadi standar de facto yang menyentuh basis data, CRM, layanan cloud, hingga tooling developer, satu kelemahan desain bisa berdampak lintas ribuan organisasi sekaligus.

Mengapa MCP Menjadi Permukaan Serangan Baru

Akar masalahnya bersifat arsitektural. Menurut panduan keamanan yang dirilis NSA pada 2026, MCP tidak mendefinisikan bagaimana sebuah sesi dipetakan ke identitas yang dapat diverifikasi, autentikasi bersifat opsional alih-alih wajib, dan kontrol akses berbasis peran (RBAC) bukan bagian dari protokol. Artinya, keputusan keamanan diserahkan ke masing-masing implementasi — dan implementasi yang tergesa-gesa cenderung mengabaikannya.

Konsekuensinya terlihat di lapangan. Sejumlah analisis keamanan sepanjang 2026 menyoroti bahwa sebagian besar server MCP yang terpapar ke publik berjalan tanpa autentikasi sama sekali, dan peneliti menemukan puluhan kerentanan zero-day pada implementasi populer. Kombinasi antara protokol yang permisif dan tekanan untuk cepat merilis fitur AI menciptakan celah lebar.

Model ancaman MCP kini bahkan sudah dipetakan secara akademis. Taksonomi seperti MCP-38 dan panduan OWASP untuk aplikasi agentik mengategorikan puluhan pola serangan berbeda, tetapi dua di antaranya paling menonjol dan paling relevan untuk dipahami lebih dulu: tool poisoning dan prompt injection tidak langsung.

Anatomi Serangan Tool Poisoning

Inti dari MCP adalah bahwa server memberi tahu model tentang tools yang tersedia melalui deskripsi — teks yang dibaca oleh LLM untuk memutuskan kapan dan bagaimana memanggil sebuah tool. Di sinilah letak jebakannya. Pada Tool Poisoning Attack, penyerang menyisipkan instruksi berbahaya ke dalam deskripsi atau metadata tool. Instruksi ini tidak terlihat oleh pengguna di antarmuka, tetapi sepenuhnya terbaca oleh model.

Bayangkan sebuah server MCP jahat yang mendaftarkan tool tampak-tak-berbahaya bernama get_weather. Deskripsinya bisa terlihat seperti ini:

Bagi pengguna, tool ini hanya "mengambil cuaca". Namun model membaca seluruh deskripsi sebagai konteks tepercaya dan dapat mematuhi instruksi tersembunyi tersebut — mengeksfiltrasi kunci SSH atau kredensial cloud. Eksperimen keamanan menunjukkan skenario yang lebih parah: server jahat tidak hanya bisa mencuri data, tetapi juga membajak perilaku agen dan menimpa instruksi dari server lain yang tepercaya, sehingga berpotensi mengambil alih fungsi agen secara menyeluruh. Invariant Labs, yang pertama kali mempublikasikan kelas serangan ini, menyebutnya sebagai salah satu kerentanan sisi-klien paling berdampak pada MCP.

Prompt Injection Tidak Langsung Lewat Data

Varian yang berbahaya lainnya adalah prompt injection tidak langsung. Di sini instruksi jahat tidak diletakkan di deskripsi tool, melainkan di data yang diambil tool secara sah — misalnya isi email, tiket dukungan, halaman web, atau baris dalam basis data. Ketika agen membaca konten tersebut untuk merangkumnya, ia bisa "terbujuk" mengeksekusi perintah yang tertanam. Karena agen memiliki akses ke banyak tool sekaligus, satu paragraf beracun dalam sebuah dokumen bisa memicu rantai aksi lintas sistem.

Kerangka Pertahanan Berlapis

Tidak ada satu tombol ajaib untuk mengamankan MCP. Pendekatan yang direkomendasikan NSA dan komunitas keamanan bersifat berlapis, menggabungkan kontrol arsitektur, protokol, dan operasional.

Prinsip utamanya, menurut NSA, adalah memperlakukan setiap sesi MCP sebagai tidak tepercaya hingga terverifikasi secara eksplisit, menerapkan token dengan hak paling minimal (least privilege) per aksi dan per tool, serta mewajibkan provenance bertanda tangan untuk setiap server MCP yang ditemukan secara dinamis. Beberapa langkah konkret yang layak diprioritaskan:

1. Wajibkan autentikasi dengan OAuth 2.1. Spesifikasi MCP menetapkan OAuth 2.1 sebagai mekanisme standar untuk transport HTTP. Sejak November 2025, PKCE (Proof Key for Code Exchange) menjadi wajib dengan metode S256, dan alur implicit grant yang rawan dilarang.
2. Validasi audience dan larang token passthrough. Token yang dikeluarkan untuk satu server tidak boleh dapat digunakan ulang di server lain. Ini mencegah eskalasi lintas layanan.
3. Terapkan scope progresif. Mulai dari akses paling rendah seperti discovery atau read-only, dan minta hak tambahan hanya saat benar-benar diperlukan.
4. Kunci (pin) deskripsi tool. Simpan hash dari deskripsi tool yang sudah ditinjau, dan tolak eksekusi jika deskripsi berubah tanpa persetujuan — pertahanan langsung terhadap tool poisoning.
5. Sandbox dan kontrol egress. Jalankan server MCP di lingkungan terisolasi dan batasi koneksi keluar untuk mencegah SSRF serta eksfiltrasi data.
6. Gerbang manusia (human-in-the-loop). Untuk aksi berdampak tinggi — menghapus data, mengirim dana, mengubah konfigurasi — wajibkan konfirmasi manusia.

Di sisi deteksi, strategi yang matang menggabungkan analisis metadata statis, pelacakan jalur keputusan model, deteksi anomali perilaku saat runtime, serta mekanisme transparansi bagi pengguna. Contoh kebijakan sederhana untuk membatasi server tepercaya bisa dituangkan seperti ini:

Rambu Hukum dan Etika di Indonesia

Konteks regulasi menambah taruhan. Jika agen AI yang terhubung MCP mengeksfiltrasi data pelanggan akibat tool poisoning, organisasi berpotensi melanggar Undang-Undang Perlindungan Data Pribadi (UU PDP) No. 27 Tahun 2022, yang mewajibkan pengendali data menerapkan langkah pengamanan yang proporsional dan memberitahukan kebocoran dalam tenggat yang ditentukan. Akses tidak sah ke sistem juga dapat bersinggungan dengan UU ITE. Secara praktik terbaik, penerapan kerangka seperti ISO/IEC 27001 dan panduan manajemen risiko AI (misalnya NIST AI RMF) membantu membuktikan uji tuntas keamanan.

Dari sisi etika, tim yang membangun atau mengaudit integrasi MCP sebaiknya menghormati batas kewenangan: pengujian keamanan hanya dilakukan pada sistem milik sendiri atau dengan izin tertulis, dan temuan kerentanan diungkap secara bertanggung jawab kepada pemilik server.

Penutup

MCP adalah lompatan besar yang membuat agen AI benar-benar berguna, tetapi kepraktisannya datang dengan model ancaman yang belum banyak dipahami. Tool poisoning dan prompt injection menunjukkan bahwa dalam sistem agentik, teks adalah kode: deskripsi tool dan data yang tampak pasif bisa menjadi vektor eksekusi. Kabar baiknya, mitigasinya sudah jelas — autentikasi wajib berbasis OAuth 2.1, hak akses minimal, penguncian deskripsi tool, isolasi, dan gerbang manusia untuk aksi kritis. Bagi organisasi Indonesia yang sedang mengadopsi agen AI, momen terbaik untuk membangun kontrol ini adalah sekarang, sebelum ribuan integrasi terlanjur berjalan tanpa pengaman. Di Siberindo, kami memandang keamanan agen AI bukan sebagai fitur tambahan, melainkan fondasi yang harus dirancang sejak baris pertama.