Secure MCP Tunnel è la soluzione ufficiale di OpenAI per connettere server MCP privati a ChatGPT, Codex e Responses API senza aprire porte firewall in ingresso. Annunciato il 27 maggio 2026 (Digg), il servizio risolve uno dei principali ostacoli all’adozione dell’AI in azienda: l’esposizione di endpoint interni alla rete pubblica. Per CISO, architetti enterprise e team DevOps significa poter integrare dati e tool aziendali con i modelli OpenAI mantenendo il perimetro di sicurezza intatto.
In questo articolo scoprirai:
- Cos’è Secure MCP Tunnel e perché OpenAI lo ha rilasciato
- L’architettura outbound-only del tunnel-client e come comunica con OpenAI
- Le funzioni di sicurezza enterprise: mTLS, proxy in uscita e CA bundles
- I prodotti OpenAI supportati e i casi d’uso aziendali concreti
- Il confronto con MCP Tunnels di Anthropic e soluzioni di terze parti
Cos’è Secure MCP Tunnel di OpenAI
Secure MCP Tunnel è un servizio gestito che permette di esporre un server Model Context Protocol privato ai prodotti OpenAI senza modificare le regole firewall in ingresso. Secondo la documentazione ufficiale OpenAI, il tunnel «consente di connettere server MCP privati ai prodotti OpenAI supportati senza aprire porte firewall in ingresso o esporli a Internet pubblico».
Il problema che risolve è concreto. Fino a maggio 2026, integrare un MCP server interno con ChatGPT richiedeva di pubblicarlo dietro un reverse proxy, configurare regole di ingresso, gestire certificati pubblici e accettare un nuovo vettore di attacco. Per molte organizzazioni regolamentate, sanità, finanza, PA, questo workflow era semplicemente non autorizzabile. Secure MCP Tunnel inverte il modello: è il client interno a iniziare la connessione verso OpenAI, eliminando l’inbound.
L’adozione del protocollo MCP, originariamente introdotto da Anthropic nel novembre 2024 e ora gestito dalla Agentic AI Foundation sotto la Linux Foundation, ha reso urgente trovare un modello di esposizione sicuro. La soluzione di OpenAI arriva in parallelo a un’iniziativa analoga di Anthropic, segno che il tema “agenti AI dentro la rete aziendale” è diventato prioritario per tutti i grandi vendor.
Architettura outbound-only del tunnel-client
L’architettura di Secure MCP Tunnel si basa su un unico componente client che inizia connessioni HTTPS in uscita verso un endpoint OpenAI gestito. Il repository tunnel-client descrive l’agente come un processo Go (88,1% del codice) che effettua long-polling verso `GET /v1/tunnel/{tunnel_id}/poll`, riceve richieste JSON-RPC dal control plane OpenAI e le inoltra al server MCP locale.
Flusso di comunicazione
Il tunnel-client non accetta connessioni inbound: l’host ha bisogno solo di accesso HTTPS in uscita verso `api.openai.com:443` (o `mtls.api.openai.com:443` quando si attiva mTLS) e di raggiungibilità locale al server MCP via stdio, HTTP streamable o in-memory. Le richieste degli utenti ChatGPT vengono accodate dal control plane, il client le preleva, le inoltra al server MCP e restituisce la risposta sullo stesso tunnel.
Componente Harpoon e channels
Il tunnel-client include un MCP server embedded chiamato Harpoon, che espone endpoint HTTP interni configurati per label e con limiti di payload. È utile quando serve raggiungere un piccolo set di API REST private senza scrivere un server MCP completo. I “channels” consentono di esporre più server MCP attraverso lo stesso tunnel, indirizzando le richieste per nome canale.
Sicurezza enterprise: mTLS, proxy in uscita e CA bundles
Le funzionalità di sicurezza enterprise di Secure MCP Tunnel includono mutual TLS sul control plane, supporto a proxy aziendali in uscita, CA bundle personalizzati e mTLS lato MCP server. Sono i tasselli che mancano nei tunnel ad hoc tipo ngrok e che permettono di superare i requisiti compliance di settori regolamentati.
Autenticazione e permessi
L’autenticazione avviene tramite API key runtime, separate dalle admin key e con permessi granulari: gli utenti runtime hanno bisogno di “Tunnels Read + Use”, mentre chi gestisce i tunnel necessita anche di “Manage”. Le admin key servono solo per operazioni CRUD sui tunnel e non vengono usate dal daemon a runtime, riducendo la superficie di esposizione delle credenziali con privilegi elevati.
Difese contro prompt injection e tool poisoning
Il tunnel risolve il problema della rete, ma non quello della logica applicativa. La ricerca di sicurezza pubblicata su Medium riporta che il modello o1-mini ha mostrato un tasso di successo del 72,8% contro attacchi di tool poisoning, e che la CVE-2025-6514 ha esposto oltre 437.000 ambienti tramite OS command injection nell’OAuth proxy di mcp-remote. Per questo è essenziale combinare Secure MCP Tunnel con controlli applicativi: approvazioni umane per azioni sensibili, allowlist di tool, e validazione dei prompt come spiegato nell’articolo sulla prompt injection nelle aziende.
Prodotti OpenAI supportati e casi d’uso enterprise
Secure MCP Tunnel funziona oggi con ChatGPT (tramite connector settings), Codex, Responses API e AgentKit, secondo la documentazione tunnel-client. Per ogni superficie OpenAI la configurazione è centralizzata: si crea un `tunnel_id` dal pannello Platform, si distribuiscono le credenziali al tunnel-client e si abilita il tunnel come connector dentro ChatGPT.
Scenari aziendali concreti
I casi d’uso più maturi includono tre categorie:
- ChatGPT che interroga un CRM o un ERP on-premise tramite un MCP server interno, senza che i dati transitino su connector pubblici.
- Codex che accede a un repository Git privato o a un sistema di build interno per generare patch contestuali.
- Agenti costruiti con Responses API che orchestrano workflow su database aziendali, uno scenario sempre più centrale nell’architettura enterprise con agenti AI.
Deployment: Docker, Kubernetes e VM
Il tunnel-client si distribuisce come binario Go o come container Docker, con guide ufficiali per Kubernetes e ambienti VM. Comandi come `tunnel-client doctor –explain` validano la configurazione, mentre l’endpoint `/healthz`, `/readyz` e `/metrics` integrano il client con i sistemi di monitoring Prometheus esistenti. La versione 0.0.9, rilasciata a maggio 2026, è distribuita sotto licenza Apache 2.0.
Confronto con MCP Tunnels di Anthropic e alternative
Secure MCP Tunnel non è l’unica soluzione del 2026: Anthropic ha rilasciato MCP Tunnels per Claude in research preview pochi giorni dopo, con un approccio architetturale molto simile. Secondo InfoQ, anche la soluzione Anthropic usa «un gateway leggero che stabilisce una connessione outbound cifrata verso l’infrastruttura Anthropic», puntando ai medesimi casi d’uso enterprise.
Alternative di terze parti
Per chi vuole indipendenza dal vendor AI esistono soluzioni come Cloudflare Tunnel (gratuito, Zero Trust e DDoS protection ma richiede dominio Cloudflare), Tailscale (mesh peer-to-peer ideale per infrastrutture di team) e NetFoundry con overlay OpenZiti, che secondo il blog NetFoundry permette al server MCP di non avere nemmeno porte aperte sul firewall locale. Queste opzioni richiedono però integrazione manuale con i prodotti AI.
Quando scegliere Secure MCP Tunnel
La scelta di Secure MCP Tunnel ha senso quando l’ecosistema di riferimento è già OpenAI: ChatGPT Enterprise come front-end, Codex per il developer tooling, Responses API per agenti custom. In contesti multi-vendor o con requisiti di sovranità dei dati ancora più stringenti, una soluzione overlay neutra resta competitiva. Per inquadrare la sicurezza complessiva dello stack AI, è utile leggere la guida sulla sicurezza dell’intelligenza artificiale nel cloud e la guida completa a ChatGPT.
Impatto sulla roadmap di adozione enterprise
L’arrivo di Secure MCP Tunnel cambia il calcolo costi-benefici per i team che stavano valutando broker MCP self-hosted o gateway commerciali. Eliminando la necessità di gestire reverse proxy, certificati pubblici e regole di ingresso dedicate, OpenAI abbassa significativamente la barriera operativa per integrazioni pilot. Diverse analisi su DEV Community stimano che il time-to-production per un connector MCP interno possa scendere da settimane a giorni, soprattutto in aziende con processi di security review formalizzati. Il rovescio della medaglia è il maggior lock-in sull’ecosistema OpenAI, che andrà bilanciato con una strategia di portabilità degli MCP server.
Perché implementare il Secure MCP Tunnel in azienda
Il Secure MCP Tunnel di OpenAI rappresenta una svolta importante per la sicurezza aziendale perché ti consente di avere a disposizione un Agente AI avanzato in grado di interrogare i database interni, i CRM o i gestionali locali, senza dover aprire nemmeno una porta nel tuo firewall aziendale e senza esporre i tuoi endpoint su internet pubblico. I tuoi dati sensibili rimangono blindati all’interno della tua rete, invisibili dall’esterno, ma pronti a essere elaborati dai modelli linguistici.
Con Mimír AI Agent, se per i tuoi Agenti decidi di adottare i modelli OpenAI, il nostro team può configurare e implementare il Secure MCP Tunnel, garantendoti la massima sicurezza dei dati.
Se vuoi una piattaforma che si integri con i tuoi sistemi aziendali senza scendere a compromessi sulla sicurezza dei dati, richiedi una demo con il nostro team o iscriviti gratuitamente per testare Mimír AI Agent.
Fonti:
- OpenAI Developers — Secure MCP Tunnel: documentazione ufficiale
- GitHub — openai/tunnel-client repository
- Digg — OpenAI releases secure tunnels for private MCP servers
- DEV Community — Securing MCP Servers: The 2026 Guide
- InfoQ — Anthropic Introduces MCP Tunnels for Private Agent Access
- NetFoundry — Private MCP Servers in Secure Agentic AI Stacks
- OpenAI Developers — MCP and Connectors guide
- Medium — Securing MCP Servers: 2026 Best Practices
Domande frequenti
Secure MCP Tunnel è gratuito?
Il tunnel-client open source su GitHub è distribuito sotto licenza Apache 2.0, ma l'utilizzo del control plane OpenAI è legato al piano API/Enterprise dell'organizzazione. Non sono stati pubblicati prezzi specifici per il tunnel: l'accesso è incluso nella sottoscrizione che già abilita ChatGPT, Codex o Responses API.
Quali porte firewall devo aprire?
Non serve aprire porte in ingresso. È sufficiente che l'host del tunnel-client possa raggiungere `api.openai.com:443` in uscita (o `mtls.api.openai.com:443` se attivi mTLS sul control plane) e il server MCP locale via rete interna.
I dati passano per i server OpenAI?
Sì, le richieste MCP transitano sull'endpoint tunnel OpenAI per essere instradate al client. La documentazione OpenAI sui connector MCP ricorda che «i dati inviati a un server MCP sono soggetti alle politiche di data retention e residency di quel server», quindi le garanzie Zero Data Retention vanno verificate contratto per contratto.
Posso usare Secure MCP Tunnel con Claude o Gemini?
No, il tunnel-client è specifico per i prodotti OpenAI. Per Claude esiste l'analogo MCP Tunnels di Anthropic, attualmente in research preview e gestito dalla Claude Console. Per altri vendor servono soluzioni overlay generiche come Cloudflare Tunnel o NetFoundry.
Quanto è sicuro rispetto a un VPN tradizionale?
Riduce la superficie di attacco perché elimina l'inbound e usa credenziali con scope ristretto (Tunnels Read + Use). Resta però un ponte verso un servizio cloud: per ambienti ad altissima sensibilità va combinato con segmentazione di rete, audit log e approvazioni umane su azioni di scrittura, come raccomandato dalle linee guida MCP del 2026.
