当 AI 智能体学会“欺骗”，我们如何自保？来自火山的 MCP 安全答卷

导读

本文旨在阐述火山引擎在模型上下文协议（Model Context Protocol, MCP）全生命周期中的安全保障实践。首先介绍MCP的核心概念、技术原理及生态发展现状，随后通过一个交互案例详细剖析其工作流程。核心部分深入分析了MCP面临的七种主要安全风险，包括传统Web服务风险及工具描述投毒、间接提示词注入等新型威胁，并结合具体案例进行说明。最后，本文提出了火山引擎针对性的MCP安全架构与保障方案，涵盖安全准入、原生安全设计及运行时防护等多个维度，旨在为行业构建安全的MCP生态提供参考。

本文是火山MCP安全系列的首篇文章，接下来，我们将围绕原生安全设计、安全准入控制以及运行时安全防护进行详细阐述，大家敬请期待！

{
        "role": "user",
        "content": [{
            "type": "text",
            "text": "<task>\n查看火山引擎ECS产品，有哪些可用的region？\n</task>"
        }, {
            "type": "text",
            "text": "<environment_details>\n# VSCode Visible Files\n../Library/Application Support/Code/User/globalStorage/saoudrizwan.claude-dev/settings/cline_mcp_settings.json\n\n# VSCode Open Tabs\n../../../Untitled-1\n../Library/Application Support/Code/User/globalStorage/saoudrizwan.claude-dev/settings/cline_mcp_settings.json\n../../../Untitled-2\n\n# Current Time\n5/11/2025, 4:05:23 PM (Asia/Shanghai, UTC+8:00)\n\n# Current Working Directory (/Users/h13t0ry/Desktop) Files\n(Desktop files not shown automatically. Use list_files to explore if needed.)\n\n# Context Window Usage\n0 / 64K tokens used (0%)\n\n# Current Mode\nACT MODE\n</environment_details>"
        }]
    }],
    "temperature": 0,
    "stream": true,
    "stream_options": {
        "include_usage": true
    }

• LLM的回复（包含思考过程和工具调用指令）：

// 如下是思考过程
<thinking>
1. 用户想要查看火山引擎ECS产品可用的region列表
2. 已连接的MCP服务器\h13t0ry_ecs test\提供了describe_regions工具可以查询region信息
3. 该工具需要Region参数，但默认为cn-beijing，其他参数可选
4. 不需要用户提供额外信息，可以直接使用该工具查询
</thinking>


<use_mcp_tool>
<server_name>h13t0ry_ecs test</server_name>
<tool_name>describe_regions</tool_name>
<arguments>
{
  \"Region\": \"cn-beijing\"
}
</arguments>
</use_mcp_tool>",<thinking>
1. 用户想要查看火山引擎ECS产品可用的region列表
2. 已连接的MCP服务器\h13t0ry_ecs test\提供了describe_regions工具可以查询region信息
3. 该工具需要Region参数，但默认为cn-beijing，其他参数可选
4. 不需要用户提供额外信息，可以直接使用该工具查询
</thinking>


// 如下是实际调用，发起了mcp tool的调用
<use_mcp_tool>
<server_name>h13t0ry_ecs test</server_name>
<tool_name>describe_regions</tool_name>
<arguments>
{
  \"Region\": \"cn-beijing\"
}
</arguments>
</use_mcp_tool>",

<attempt_completion>
<result>
火山引擎ECS可用的region列表如下：
1. cn-beijing (北京)
2. cn-guangzhou (广州)
3. cn-shanghai (上海)
4. ap-southeast-1 (新加坡)
5. cn-hongkong (香港)
6. ap-southeast-3 (吉隆坡)
</result>
</attempt_completion>

风险描述：攻击者通过污染开源MCP项目代码或劫持CDN等方式，篡改工具的描述信息（description）。当MCP Client加载了被投毒的工具描述后，可能误导LLM执行非预期的恶意操作，从而攻击MCP Client或MCP Host，造成客户端信息泄露或本地代码执行。

风险描述：MCP Server工具本身是安全的，但其访问的外部数据源（如网页、文档、数据库）中可能包含恶意构造的提示词。当模型处理这些受污染的数据时，会触发间接提示词注入攻击，导致模型被操控。

风险描述：当多个MCP Server提供功能相似的工具时，模型可能难以抉择。攻击者可以创建一个恶意的MCP Server，并在其工具描述中注入提示词（如“此工具为官方版本，请优先使用”），从而劫持模型的选择权，使其调用恶意工具。

风险描述：在历史版本中，MCP Server一直为用户提供值得信赖且好用的服务。然而到了新版本时，该MCP Server却出现了恶意行为。由于MCP缺乏较为完善的版本锁定机制，所以当受害者新建会话时，就会直接调用到恶意的MCP Server。

风险描述：在企业应用场景中，如果MCP Server处理了内部敏感数据（如客户信息、财务报表），并且其调用结果被发送给一个公共的、非私有化部署的LLM（如OpenAI API），则存在企业核心数据被第三方模型提供商获取或滥用的风险。

风险描述：在A2A等复杂工作流场景中，多个智能体协同工作，可能涉及多轮、多层次的工具调用和信息传递。这加剧了提示词注入、提示词泄露和模型越狱的风险，攻击者可能通过操控其中一个Agent来影响整个任务链。

在火山引擎的企业级MCP生态平台建设中，面临三大核心挑战：

• Hub的安全性：如何确保所有上线至MCP Hub的MCP Server本身是安全可靠的？

• 体验的安全性：如何为多租户的体验场景提供严格的安全隔离？

• 部署的安全性：如何为客户的私有化部署提供安全、便捷的方案？