MCP服务器成AI新攻击面：安全防护严重滞后

MCP：一年崛起的AI连接标准

MCP（Model Context Protocol）由Anthropic于2024年11月作为开源标准推出，旨在为AI智能体提供统一、安全的外部工具与数据接入接口。其设计初衷是解决此前各AI系统需为每个工具单独开发定制化连接器的碎片化问题。凭借标准化、可扩展及厂商中立特性，MCP迅速获得生态支持：至2025年12月，全球活跃公开MCP服务器已超10,000个，获AWS、Google Cloud、Azure等云服务商原生集成；ChatGPT、Gemini、Microsoft Copilot、Cursor及Visual Studio Code等全部主流AI编码助手与大模型平台均完成MCP适配。这一 adoption 曲线在竞争激烈的LLM基础设施领域极为罕见。

新标准即新风险：MCP引入独特攻击面

MCP的广泛部署同步放大了攻击面。不同于传统API网关或微服务架构，MCP服务器承担着AI智能体动态调用敏感系统（如数据库、CRM、代码仓库、内部API）的枢纽角色，而现有网络安全方案并未针对此类‘模型驱动、上下文感知、权限动态协商’的交互模式设计。OWASP已将MCP相关威胁列为高优先级风险，主要包括：

• 工具投毒（Tool Poisoning）：攻击者在工具描述（tool description）、JSON Schema定义或工具返回值中嵌入恶意指令，诱导AI智能体在不知情下执行越权操作；
• 地毯式撤回（Rug Pull）：一种AI原生攻击——人类开发者已审核并批准某工具定义后，攻击者篡改该工具在MCP服务器上的元数据（如功能说明或权限范围），利用既有信任链实施欺骗；
• 工具影子化（Tool Shadowing）与跨源提权（Cross-Origin Escalation）：恶意MCP服务器伪造高可信度工具描述，诱使智能体误将其当作受信服务器的合法工具调用，从而劫持执行流或窃取凭证。

此外，传统威胁在MCP场景下危害加剧：攻击者利用MCP服务器的宽泛权限配置，通过看似正常的搜索、邮件发送等工具调用，隐蔽外泄敏感数据；或滥用‘最小权限原则’缺失，授予服务器远超任务所需的系统访问权，显著扩大暴露面。

安全缺口触目惊心：40%服务器存在可利用漏洞

AI安全公司Lakera（2025年被Check Point收购）对10,000个公开MCP服务器开展实证审计，发现其中40%存在可被远程利用的安全弱点，包括未认证访问、硬编码密钥、不安全的反序列化及开放重定向等。这些漏洞使上述OWASP所列攻击手法具备现实可行性。更严峻的是，当前市场尚无成熟、专用于MCP协议栈的纵深防御框架——多数企业仍依赖通用WAF或零信任网关，无法解析MCP特有的上下文交换、工具元数据签名、动态权限协商等关键环节。

MCP安全≠AI整体安全：只是拼图中的一块

尽管MCP服务器已成为当前最紧迫的AI基础设施风险点，但其安全防护仅覆盖AI智能体对外交互的一部分路径。AI智能体仍可通过直连API、本地插件、文件系统读写、甚至浏览器自动化等方式绕过MCP。因此，MCP安全是AI安全体系中的关键一环，而非全部。企业在选型MCP专用防护方案（如Check Point于2026年7月发布的AI Network Firewall）时，必须将其置于整体AI安全架构中评估：既要验证其对MCP特有威胁（如工具Schema篡改检测、跨服务器调用鉴权）的防护能力，也需同步部署模型层防护（防提示注入）、运行时监控（异常工具调用行为识别）及数据层治理（敏感字段自动脱敏）等多维控制措施。

> 编者观点：对中国AI企业而言，MCP的快速普及既是技术整合机遇，也是安全治理警钟——亟需建立面向AI原生协议的漏洞响应机制与自动化合规检测能力，避免在基础设施升级浪潮中陷入‘跑得越快、摔得越重’的安全悖论。