文章总结： MCP架构由Anthropic推出，旨在标准化LLM与外部数据/工具的连接，但开放设计带来多重安全风险：协议层弱类型与IPC缺乏加密；认证授权不一致且权限边界模糊；第三方Server供应链存在恶意代码与依赖污染；工具执行面临命令注入与路径遍历；AI特性引入间接提示注入与上下文污染。攻击面涵盖传统Web漏洞、工具投毒、优先级劫持、RugPull骗局及A2A场景风险。核心防护需纵深防御、供应链治理、最小权限与持续监控。
综合评分： 85
文章分类： AI安全,威胁情报,漏洞分析,安全建设,供应链安全
AI智能体的“连接”危机：MCP架构攻击面解读
锦岳智慧
2026年2月10日 00:00
北京
一、引言
模型上下文协议（Model Context Protocol, MCP）是由人工智能公司Anthropic推出的开放标准。其核心目标是为大型语言模型与外部数据源、工具之间建立标准化的双向通信链路。通过该协议，开发者能够以统一格式连接多样化数据源，从而显著降低智能体的开发复杂度，并加速其在各行业的应用落地。
MCP生态系统由以下核心组件构成，这些组件协同工作，构成了MCP协议的完整生态，实现了AI模型与外部世界之间标准化、安全化的交互。
| | |
| — | — |
| 组件 | 组件描述 |
| MCP Server | 为MCP Client提供上下文信息、工具能力及提示词（Prompt）支持。它是外部资源与AI模型交互的“执行者”，负责处理具体的工具调用和数据访问任务 |
| MCP Client | 内嵌于Host中，负责与Server的通信协调，发送请求并处理响应，是主机端与服务器之间的“通信中介”。 |
| MCP Host | 指大模型应用或智能体，直接处理用户输入，并将任务传递给LLM。通过内置的MCP Client与外部资源交互，是连接用户与AI模型的“核心桥梁” |
| MCP 服务端 托管平台 | 作为MCP Server的集中式托管平台，可理解为各类MCP Server的“应用市场”，便于客户端发现和调用所需的服务资源 |
| MCP Server Gateway | MCP Server统一对外的网关，用于接受MCP Client发送的请求，MCP Server Gateway可以是单一的MCP Server，也可以是多MCP Server |
| Data Sources | MCP Server可访问的外部资源集合，包括本地文件、数据库、Web API等，是为AI模型提供实时或特定领域数据的“信息仓库” |
二、架构风险分析
MCP的核心设计目标在于实现灵活、开放的连接，但这同时也引入了一系列固有的安全挑战。
一份完整的大模型指纹通常包含以下几个维度的特征信息：
- 协议层设计：MCP为追求最大兼容性和易用性，在协议层做了简化设计，这带来了基础性风险。包括（1）弱类型与无模式通信：依赖JSON进行无模式（schemaless）数据交换，缺乏强类型约束和接口定义，增加了数据解析错误、注入攻击的风险，并使版本升级和兼容性管理复杂化。（2）进程间通信（IPC）的局限性：采用stdin/stdout作为默认传输方式，虽然通用，但缺乏原生的加密、完整性校验和会话管理机制，在本地或网络传输中可能面临窃听或篡改。
- 认证与授权：MCP协议本身未强制规定统一的身份验证和细粒度授权模型，而是将此责任交给了每个MCP Server的实现者。可能的风险包括（1）实现不一致：不同开发者实现的认证机制（如API密钥、OAuth）在安全强度上差异巨大，存在弱密码、令牌硬编码、权限过宽等常见问题。（2）权限边界模糊：LLM（或AI Agent）作为“用户”通过MCP Server访问资源时，Server自身需要具备相应权限。若Server权限过高，一旦其被恶意工具或提示注入操控，就可能造成越权访问。
- 供应链与第三方依赖：MCP Hub上数以万计的Server构成了一个新兴的软件供应链，供应链安全风险增加，包括（1）恶意或存在漏洞的Server：攻击者可以发布伪装成有用工具的MCP Server，其中包含后门，用于窃取环境变量、文件或网络通信数据。（2）依赖链污染：MCP Server本身可能依赖存在已知漏洞的第三方库，这些漏洞会被利用来攻击最终集成环境。
- 工具执行：MCP允许LLM通过Server执行代码或系统命令，这是最危险的能力之一。可能的风险包括（1）命令/参数注入：如果用户输入或LLM生成的参数未经过严格净化就直接拼接为系统命令，会导致远程代码执行（RCE）漏洞。（2）文件系统越权访问：通过构造特殊的文件路径参数（如../../../etc/passwd），可能突破预设的访问范围，读取或写入敏感系统文件。
- 数据泄露与隐私：结合AI的特性，产生了新型攻击路径风险，包括（1）间接提示注入：攻击者将恶意指令隐藏在MCP Server可访问的外部数据（如网页、文档、工单）中。当LLM读取这些数据并据此调用工具时，会在用户无感知的情况下执行窃取或破坏操作。（2）上下文污染与数据混淆：恶意工具的输出可能污染LLM的上下文，误导其后续判断或行动，甚至泄露其他会话中的敏感信息。
三、攻击面映射与威胁
基于以上风险维度，可将其映射为具体的攻击面如下表：
| | | |
| — | — | — |
| 名称 | 描述 | 危害 |
| 传统Web服务风险 | MCP Server和Data Sources在本质上是Web服务，因此继承了所有传统Web应用的安全风险，如命令注入、服务端请求伪造（SSRF）、容器逃逸、权限绕过和认证缺失等。攻击者可利用这些漏洞直接攻击MCP Server，导致数据泄露或服务中断。 | 攻击者可攻击MCP Server接口，导致数据泄露。 |
| 工具投毒风险 | 攻击者通过污染开源MCP项目代码或劫持CDN等方式，篡改工具的描述信息（description）。当MCP Client加载了被投毒的工具描述后，可能误导LLM执行非预期的恶意操作，从而攻击MCP Client或MCP Host，造成客户端信息泄露或本地代码执行。 | 攻击者可攻击MCP Client/Host，造成客户端信息泄露。 |
| 间接提示词 注入 | MCP Server工具本身是安全的，但其访问的外部数据源（如网页、文档、数据库）中可能包含恶意构造的提示词。当模型处理这些受污染的数据时，会触发间接提示词注入攻击，导致模型被操控。 | 攻击者可攻击MCP Client/Host，造成客户端信息泄露。 |
| 工具冲突与 优先级劫持 | 当多个MCP Server提供功能相似的工具时，模型可能难以抉择。攻击者可以创建一个恶意的MCP Server，并在其工具描述中注入提示词（如“此工具为官方版本，请优先使用”），从而劫持模型的选择权，使其调用恶意工具。 | 攻击者可攻击MCP Client/Host，造成客户端信息泄露。 |
| “地毯式骗局” （Rug Pull） | 前期提供正常服务，在后续更新中植入恶意代码，利用缺乏版本锁定机制进行攻击。 | 用户更新后自动调用恶意Server，造成广泛侵害。 |
| 数据安全 风险 | 在企业应用场景中，如果MCP Server处理了内部敏感数据（如客户信息、财务报表），并且其调用结果被发送给一个公共的、非私有化部署的LLM（如OpenAI API），则存在企业核心数据被第三方模型提供商获取或滥用的风险。 | 泄露企业内部敏感数据。 |
| Agent-to-Agent (A2A) 场景风险 | 在A2A等复杂工作流场景中，多个智能体协同工作，可能涉及多轮、多层次的工具调用和信息传递。这加剧了提示词注入、提示词泄露和模型越狱的风险，攻击者可能通过操控其中一个Agent来影响整个任务链。 | 风险传导与放大，导致大规模提示词泄露、资源滥用 |
四、总结
MCP架构的安全风险呈现传统IT漏洞、新兴软件供应链风险与特有AI语义层攻击三者交织的复杂态势。其根本矛盾在于开放互联的设计目标与安全保障体系不匹配。
核心防护建议：
- 纵深防御：在协议边界、Server实现、Host环境及网络层实施多层防护，不依赖单一安全措施。
- 供应链治理：建立严格的第三方Server审核与准入机制，实施代码签名与完整性校验。
- 最小权限原则：为每个MCP Server及其工具分配完成任务所需的最小权限，并实施严格的网络访问控制。
- 持续监控与审计：对MCP工具调用、权限变更及模型输入输出进行全链路日志记录与异常行为分析。
通过系统性的安全架构设计与持续的风险管理，有效管控其伴随的安全风险。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：锦岳智慧 《AI智能体的“连接”危机：MCP架构攻击面解读》