企业不容忽视的8大MCP安全风险

行业趋势 | 2026年1月29日

模型上下文协议（MCP）正迅速成为AI智能体与企业系统交互的基础层，这令人振奋！MCP让AI能够连接真实数据、实际工具和真实工作流，包括CRM系统、工单平台、内部应用和API，从而实现更智能的自动化并加快决策。但有一点尚未得到充分讨论：MCP也带来了全新的攻击面。大多数组织已经在不知情的情况下暴露了这一攻击面。我每周都会与正在加速采用AI的安全、IT和产品负责人交流。许多人已经在直接或间接使用MCP，但很少有人能有把握地回答以下基本问题：

目前哪些场景正在使用MCP？
连接了哪些智能体和工具？
这些连接会访问哪些数据和系统？

这种可见性缺口只是风险冰山一角，而“MCP号”正全速前进。下面逐一解析使用AI的每个组织都需要了解的八大MCP安全风险，以免这些风险演变为实际事件。

1. MCP使用情况缺乏可见性

最常见的MCP风险也最简单：组织并不清楚哪些地方正在使用MCP。安全团队通常无法全面掌握以下信息：

使用MCP的AI智能体
在本地采用或远程部署的MCP服务器
AI智能体或客户端现在可以访问的企业系统，或其所利用的身份

缺乏可见性，就无法评估暴露风险、应用策略或响应事件。MCP会与数据库、API和内部工具交互，却未受到与这些系统和工具同等的治理。看不见，就无法保护。

2. 对远程MCP服务器的访问不受控制

MCP让智能体能够轻松连接到与CRM、ERP或数据平台等关键SaaS企业平台关联的远程服务器。但如果这些连接未进行集中管理，就可能在未经批准或监督的情况下建立。智能体及其背后的用户可能会在安全团队不知情的情况下访问敏感系统。这种失控状态会大幅扩大攻击面，并增加未经授权或非预期访问的风险。

3. 存在风险或未经批准的本地MCP服务器

MCP并非只存在于集中式基础设施中。开发人员和高级用户可以（而且确实会）在自己的计算机上搭建本地MCP服务器，以便开展实验或加快工作进度。这种灵活性正是MCP的吸引力之一，但也会带来严重风险。本地MCP服务器通常：

绕过企业安全策略
在没有监控或日志记录的情况下运行
在获批环境之外暴露敏感数据

这些“服务器”实际上成了安全团队无法察觉的影子基础设施，却能访问企业系统。若要阻止在本地使用MCP，就意味着禁止开发人员执行任何代码（业务也会因此停摆！）。而且，使用MCP的不只是开发人员。如今，在大多数AI客户端中，只需点击即可将MCP服务器添加为“集成”，这已成为原生体验，使MCP的使用范围从命令行延伸至企业高管层。

4. 通过MCP服务器执行破坏性操作

与被动集成不同，MCP并非只读集成，因此MCP调用可能会触发操作，包括非预期操作。MCP请求可能触发实际操作，其中包括破坏性操作。如果缺乏适当的防护措施，MCP可能被用于删除数据、更改配置、部署恶意工作负载、滥用API，或以非预期方式触发工作流。这并非假设性风险。MCP在设计上具有交互性，这意味着错误（或滥用）可能立即造成运营后果。

5. 持久化最终用户身份验证

许多AI客户端使用最终用户的身份对MCP请求进行身份验证。这意味着代理实际上会继承用户的访问权限。问题在于，这些权限原本是为人类使用而设计的，并不适用于非确定性系统的访问。此类访问不仅缺少用户本人的监督，而且授予的凭据还可能在原始会话结束后继续有效。如果不加以严格控制，即使用户已退出登录很长时间，MCP活动仍可能继续以提升的权限运行，从而增加凭据滥用、越权和未经授权访问的风险。