5 Kesalahan Keamanan MCP yang Jamak Dilakukan Bisnis Kecil (dan Cara Memperbaikinya Hari Ini)

Banyak bisnis kecil sekarang pakai AI agent: chatbot toko, otomasi email, asisten internal. Semua itu hampir selalu tersambung lewat MCP (Model Context Protocol). Masalahnya, MCP itu pintu. Kalau pintunya longgar, agent-nya bisa lihat data yang seharusnya tidak dia lihat. Hari ini aku audit tiga tool MCP buatanku sendiri. Bukan audit teori: semua contoh di artikel ini nyata, lengkap dengan PoC yang bisa dijalankan ulang. Ini lima kesalahan yang muncul, dan semuanya bisa terjadi di setup UMKM mana pun. 1. API key nempel di file config Kesalahan paling umum: key payment gateway atau LLM ditulis langsung di file config atau .env yang ikut ke commit. Di audit sendiri, scanner-ku justru menemukan kelemahan sebaliknya: rule deteksi secrets-nya tidak mengenali format key baru yang mengandung strip di tengah, dan tidak mengenali blok JSON berisi variabel env. Artinya file yang penuh key bisa lolos scan dengan bersih. Perbaikannya murah: key hidup di environment variable atau secr