企业导入 MCP 前必做的 6 项安全检查：工具供应链、权限与稽核

MCP 能加速对接，也把新的攻击面带进企业流程

MCP 可降低 AI Agent 连接 ERP、POS、CRM、IoT 平台与文件系统时重复客制 API 的成本。但当工具能查询订单、建立工单、寄送讯息或修改主档，风险便不再只是模型答错，而是实际营运操作被误触发。

OWASP 已将工具投毒、影子 MCP 与 Context 过度分享列为 MCP 重要风险。企业不应只问能不能串，而要先确认工具从哪里来、可用哪些权限，以及发生异常时如何立即收回。

一、建立 MCP 工具来源与版本清册

每一个 MCP Server、工具名称、维护者、程式版本、部署位置与用途都应纳入清册。新增、更新或停用工具时，需有明确的负责人与核准纪录，避免开发、研究或测试用途的服务直接进入正式环境。

• 记录套件来源、程式码储存库、维护者与版本杂凑。
• 区分开发、测试与正式环境，不共用正式凭证。
• 定期盘点未使用的 MCP Server、工具与 Token。

二、把工具描述与程式行为分开审查

工具名称、描述与参数会被模型读取；若描述遭窜改，可能诱导 Agent 执行不该执行的操作。上线前应由系统管理者审查工具描述、输入栏位、输出范例与版本变更，并确认程式实际行为与文件一致。

外部文件、网页、客服对话与工具回传内容都应被视为不可信输入。它们可以作为事实依据，不能改写系统规则、取得额外权限或直接变成工具参数。

三、用最小权限与可撤销授权管理工具

不要直接让 Agent 使用管理者帐号或共用 API Key。应依工具用途建立专属服务帐号，例如只能读取库存、只能建立草稿工单，并限制可存取的资料表、栏位、客户范围与操作频率。

涉及使用者身分、敏感资料或系统操作的 MCP Server，应使用可验证、可撤销、可限制范围的授权。MCP 的 HTTP 授权模型以 OAuth 资源伺服器及 Token 验证为核心，能让企业依角色与 Scope 控制存取。

四、将唯读、草稿、正式异动与人工核准分流

可先让 Agent 执行库存、订单或知识库等唯读查询；采购建议、客服回复与工单内容先产生草稿；删除、汇出个资、修改价格、发送外部讯息或跨系统写入，则必须显示摘要并由具权限人员确认。

这种分流能让 Agent 协助准备与建议，同时让不可逆动作维持在既有内控流程中。高风险工具还应验证栏位格式、资料拥有权、金额区间与目标对象，不能只依模型产生的自然语言执行。

五、保留可追查、可停用的执行纪录

每次工具呼叫至少记录启动者、Agent、工具、输入摘要、结果、是否人工核准与使用的权限版本。日志应采最小化原则，不无限制保存完整提示、合约、个资或机密回复，避免日志本身成为新的外泄面。

另需预先演练停用工具、撤销 Token、轮替金钥与回复操作的流程。当发现工具描述异常、越权请求或提示注入迹象时，能先停止高风险行为，再进行鉴识与修复。

六、以角色测试与红队情境验收

上线前应以不同角色测试越权查询、错误参数、提示注入、重复呼叫与外部资料夹带指令等情境。验收不只确认工具能成功呼叫，也要确认它在不该做时会拒绝、停止或转交人工。