Quali rischi esistono davvero

I problemi documentati nel 2026 sono concreti, non teorici. I principali:

  • Server malevoli o compromessi. Un server scaricato da una fonte sconosciuta può fare più di quello che dichiara. Sono già circolati pacchetti truccati: il server sembra utile e intanto ruba dati.
  • Prompt injection. Un testo nascosto in un file o in una pagina web che l'AI legge può contenere istruzioni occulte ("invia questi dati a..."). L'AI, leggendolo, rischia di eseguirle. È oggi il rischio numero uno di questi sistemi.
  • Troppi permessi. Un server filesystem a cui dai l'intero disco può leggere tutto, anche ciò che non c'entra. Più accesso concedi, più ampio è il danno se qualcosa va storto.

Come ridurre i rischi

Da qualsiasi assistente, i passi che contano sono gli stessi.

  1. Installa solo server da fonti affidabili. Preferisci i server ufficiali o quelli con molte installazioni e codice pubblico verificabile. Un server trovato a caso vale quanto un programma scaricato da un sito qualunque: nel dubbio, non collegarlo.
  2. Dai l'accesso minimo. A un server filesystem indica la cartella precisa che serve, mai l'intero disco. La sintassi operativa, nel file di configurazione del tuo assistente:
{
  "mcpServers": {
    "documenti": {
      "command": "npx",
      "args": ["-y", "@modelcontextprotocol/server-filesystem", "/Users/tuonome/Documenti/lavoro"]
    }
  }
}
  1. Usa la sola lettura dove puoi. Se ti serve che l'AI legga ma non modifichi, scegli una configurazione in sola lettura: l'AI guarda i file ma non può cambiarli o cancellarli.
  2. Tieni una conferma umana per le azioni serie. Cancellare dati, inviare email, fare pagamenti: gli assistenti seri chiedono il tuo via libera prima. Non disattivare queste conferme per comodità.
  3. Aggiorna i server. Le falle si correggono con gli aggiornamenti, come per qualsiasi software.

Esempio concreto

Giulia vuole far analizzare all'AI i contratti dei clienti. La tentazione è collegare il server filesystem all'intera cartella utente, così "vede tutto". Invece crea una sottocartella con solo i contratti da analizzare e indica quella nel file di configurazione, in sola lettura. L'AI legge ciò che le serve e niente altro; non può modificare né cancellare nulla. Se anche uno dei file contenesse un testo-trappola, il danno possibile è ridotto al minimo perché il server non ha i permessi per fare disastri. La comodità è la stessa, il rischio molto più basso.

Quando NON usarlo (e cosa fare invece)

Se il server arriva da una fonte che non conosci

Se non sai chi ha scritto un server e non puoi verificarne il codice, non collegarlo a dati veri. Provalo prima su una cartella vuota o con file finti, e osserva cosa fa, prima di dargli accesso a qualcosa che conta.

Se devi maneggiare dati molto sensibili

Per dati personali di terzi, sanitari o finanziari, valuta se l'AI deve proprio vederli. Quando possibile, anonimizza prima (togli nomi e numeri esatti) oppure tieni quei dati fuori del tutto. Nessuna configurazione è sicura quanto un dato che non hai esposto.

Se non capisci cosa fa un permesso

Se una configurazione chiede un accesso che non comprendi, fermati. Chiedi all'AI stessa di spiegarti in parole semplici cosa concede quella riga prima di salvarla. Un permesso dato senza capirlo è il modo più comune di aprire una porta che credevi chiusa.

Un consiglio da chi lo usa davvero

Tieni una lista dei server che hai collegato e, ogni tanto, togli quelli che non usi più. Ogni server attivo è una porta aperta: meno ne tieni, meno superficie offri a un problema. La sicurezza non è un'azione unica all'installazione, è una piccola manutenzione che fai ripulendo ciò che non serve.

Domande frequenti

Un server MCP può accedere a tutto il mio computer?

Solo se glielo permetti. Un server filesystem vede esclusivamente le cartelle che gli indichi: se gli dai una sola cartella, il resto del disco resta invisibile. Il problema nasce quando, per pigrizia, si concede l'accesso a tutto.

Come faccio a sapere se un server è affidabile?

Guarda la fonte: server ufficiali, codice pubblico e consultabile, molte installazioni e una comunità attiva sono segnali buoni. Un server senza codice visibile, senza una pagina ufficiale e senza utenti è un rischio che non vale la pena correre.

MCP è pericoloso e meglio starne lontani?

Qui sta il malinteso da sciogliere: MCP non è pericoloso più di quanto lo sia installare software sul computer. È una porta, e una porta si gestisce con le serrature giuste, non murandola. Server fidati, permessi minimi e conferme umane rendono l'uso quotidiano sicuro. Il pericolo è l'uso distratto, non lo strumento.