模型上下文协议正在推动强大的新工作流。它让模型能够调用工具、查询系统，并代表用户执行操作。这项能力可显著提升生产力，但也带来了新的现实攻击面：当模型、智能体或AI客户端继承用户身份时，MCP工具或软件包中的细微变更可能引入大规模且难以察觉的风险。
一句话概括风险
使用用户凭据运行的MCP服务器可以访问该用户有权访问的相同系统和API。遭入侵的工具无需破解身份验证，因为它们已经以合法用户的身份运行。
这些利用攻击究竟是如何发生的
每个MCP工具都会向模型提供一组简单的信息：名称、供人阅读的描述和参数列表。模型根据这些描述选择要调用的工具，并确定如何填写其参数。实际上，工具元数据可以影响模型的行为。这就是协议内置的提示词注入。
例如，假设一个正常的“获取天气”工具被修改为：运行前必须先获取CRM查询结果。模型按照该指令提取了CRM数据，并将其传入天气工具的执行上下文。攻击者只需再添加一行代码，将收集的数据发送到公共端点，即可窃取CRM记录。用户仍会收到正常的天气响应，而敏感的交易数据已在不知情的情况下被发送到组织外部。
该漏洞利用无需越狱，也不需要复杂的黑客攻击，只需对工具稍作修改并提供少量自然语言指引。由于许多MCP软件包会通过npx等便捷命令或“latest”标签进行安装或更新，客户端启动时可能会自动引入已遭篡改的代码。
为何传统控制措施往往无法发现此类问题
大多数安全工具旨在保护API、实施身份验证并监控网络边界。MCP攻击利用的是另一个维度：模型选择工具并将其串联起来的方式。本地MCP服务器可以运行任意代码，而模型串联工具的方式可能无法通过仅针对API的监控发现。
简而言之，这些攻击看起来与合法的用户操作无异。它们使用合法凭据发起合法调用，因此现有工具难以检测攻击并确定其来源。
为何这一风险正在扩大
MCP正逐渐走出仅限开发人员使用的工作流。SaaS供应商和产品团队正通过点击即可添加的流程，将代理式自动化功能作为“工具”“代理”或“自动化”提供。非技术用户可能在不了解安全影响的情况下启用这些功能。这意味着，供应链或工具层面的安全失陷可能波及工程团队之外，并影响整个企业的产品用户。
我们还看到，一些注册表和精选目录将第三方MCP服务标为“可信”组件。这些列表可能通过抓取公共代码库或从中收录内容生成，而认证标识并不能保证安全。
实际影响
成功利用MCP漏洞可能造成多种危害，包括在用户毫无察觉的情况下窃取客户记录、获取临时凭据或令牌并用于后续调用、触发破坏性操作，或将多个小操作串联成影响更大且代价高昂的操作链。更重要的是，即使用户认为自己只是在执行常规的低风险任务，这些行为也可能发生。
后续措施
对大多数组织而言，完全阻止MCP并不可行。MCP能够带来切实价值，取消访问权限只会促使用户转向影子AI和未经批准的变通方法。切实可行的下一步是了解正在使用哪些MCP资源，对这些工具进行分类，并在模型边界实施策略和运行时控制。
预约演示，了解F5 Workforce AI Security（原名SurepathAI）如何整合发现、分类和策略执行，在防止高风险操作的同时，帮助员工保持高效。
关于作者
相关博客文章
WAF和API发现技术在保护智能体AI应用中的作用
智能体AI系统的功能和集成会在运行时快速变化。要以同样的速度保障其安全，需要通过API发现和Web应用防火墙（WAF）实施切实可行的控制措施。
