企業導入 MCP 前必做的 6 項安全檢查：工具供應鏈、權限與稽核

MCP 能加速串接，也把新的攻擊面帶進企業流程

MCP 可降低 AI Agent 連接 ERP、POS、CRM、IoT 平台與文件系統時重複客製 API 的成本。但當工具能查詢訂單、建立工單、寄送訊息或修改主檔，風險便不再只是模型答錯，而是實際營運操作被誤觸發。

OWASP 已將工具投毒、影子 MCP 與 Context 過度分享列為 MCP 重要風險。企業不應只問能不能串，而要先確認工具從哪裡來、可用哪些權限，以及發生異常時如何立即收回。

一、建立 MCP 工具來源與版本清冊

每一個 MCP Server、工具名稱、維護者、程式版本、部署位置與用途都應納入清冊。新增、更新或停用工具時，需有明確的負責人與核准紀錄，避免開發、研究或測試用途的服務直接進入正式環境。

• 記錄套件來源、程式碼儲存庫、維護者與版本雜湊。
• 區分開發、測試與正式環境，不共用正式憑證。
• 定期盤點未使用的 MCP Server、工具與 Token。

二、把工具描述與程式行為分開審查

工具名稱、描述與參數會被模型讀取；若描述遭竄改，可能誘導 Agent 執行不該執行的操作。上線前應由系統管理者審查工具描述、輸入欄位、輸出範例與版本變更，並確認程式實際行為與文件一致。

外部文件、網頁、客服對話與工具回傳內容都應被視為不可信輸入。它們可以作為事實依據，不能改寫系統規則、取得額外權限或直接變成工具參數。

三、用最小權限與可撤銷授權管理工具

不要直接讓 Agent 使用管理者帳號或共用 API Key。應依工具用途建立專屬服務帳號，例如只能讀取庫存、只能建立草稿工單，並限制可存取的資料表、欄位、客戶範圍與操作頻率。

涉及使用者身分、敏感資料或系統操作的 MCP Server，應使用可驗證、可撤銷、可限制範圍的授權。MCP 的 HTTP 授權模型以 OAuth 資源伺服器及 Token 驗證為核心，能讓企業依角色與 Scope 控制存取。

四、將唯讀、草稿、正式異動與人工核准分流

可先讓 Agent 執行庫存、訂單或知識庫等唯讀查詢；採購建議、客服回覆與工單內容先產生草稿；刪除、匯出個資、修改價格、發送外部訊息或跨系統寫入，則必須顯示摘要並由具權限人員確認。

這種分流能讓 Agent 協助準備與建議，同時讓不可逆動作維持在既有內控流程中。高風險工具還應驗證欄位格式、資料擁有權、金額區間與目標對象，不能只依模型產生的自然語言執行。

五、保留可追查、可停用的執行紀錄

每次工具呼叫至少記錄啟動者、Agent、工具、輸入摘要、結果、是否人工核准與使用的權限版本。日誌應採最小化原則，不無限制保存完整提示、合約、個資或機密回覆，避免日誌本身成為新的外洩面。

另需預先演練停用工具、撤銷 Token、輪替金鑰與回復操作的流程。當發現工具描述異常、越權請求或提示注入跡象時，能先停止高風險行為，再進行鑑識與修復。

六、以角色測試與紅隊情境驗收

上線前應以不同角色測試越權查詢、錯誤參數、提示注入、重複呼叫與外部資料夾帶指令等情境。驗收不只確認工具能成功呼叫，也要確認它在不該做時會拒絕、停止或轉交人工。