想象一下，你辛辛苦苦训练出一个聪明绝顶的 AI 大模型，它能帮你处理各种复杂的任务。但是，如果通往这个聪明大脑的“管道”——也就是模型上下文协议（MCP）——不够安全，那岂不是给黑客们留下了可乘之机? 别担心!由区块链安全领域的专家 SlowMist（慢雾科技） 倾力打造的 MCP 安全检查清单，就像一个专业的“AI 神盾局”，它为基于 MCP 的 AI 工具提供了一份全面的安全指南，旨在保护你的 LLM 插件生态系统免受各种潜在威胁。

QQ_1745201991279.png

自从2024年底 MCP 发布以来，它已经被广泛应用于 Claude Desktop 和 Cursor 等主流 AI 应用中，各种 MCP 服务市场也蓬勃发展。然而，如同任何新兴技术一样，MCP 的快速普及也带来了新的安全挑战。

MCP 安全检查清单 正是在这样的背景下应运而生。它不是一个冷冰冰的工具，而是一位经验丰富的安全专家，它系统地梳理了 MCP 架构中 Host（宿主）、Client(客户端)和 Server(服务器)三个主要组件交互过程中可能出现的各种风险点。无论是涉及到敏感的加密货币交易，还是与 LLM 集成的自定义插件，这份清单都能帮助开发者们主动识别和防范潜在的安全漏洞。

通过采纳这份清单中的安全措施，你的 MCP 系统的整体稳定性和可控性将得到显著提升，确保 AI 应用的安全与发展齐头并进。

✨ 核心功能亮点

这份 MCP 安全检查清单就像一位细心的安全管家，它从多个维度对 MCP 系统的安全性进行了深入的考量，主要的核心功能亮点可以归纳为以下几个方面:

  • 全面的 API 安全防护:
    • 严格的输入验证:就像给每个进入你家门的访客都做一次细致的检查，防止恶意代码通过 API 输入渗透进来。
    • API 速率限制:给 API 设置流量上限，防止被恶意请求淹没，导致服务崩溃（DoS 攻击）。
    • 输出编码:确保 API 输出的数据经过适当的处理，防止潜在的跨站脚本攻击等风险。
  • 坚实的服务器认证与授权机制:
    • 细粒度的访问控制:就像公司的权限管理系统，不同的角色只能访问其职责范围内的资源，遵循最小权限原则。
    • 安全的凭据管理:告别硬编码的密钥!教你如何安全地存储和管理服务凭证，利用密钥管理服务。
    • API 密钥轮换:定期更换 API 密钥，就像定期更换门锁一样，降低密钥泄露后的风险。
    • 服务身份认证:让工具能够验证服务器的身份，确保客户端连接的是可信的服务。
  • 严谨的后台持久化控制:
    • 生命周期管理:像管理软件的安装和卸载一样，对 MCP 插件的生命周期进行严格管理，并与客户端协调。
    • 强制关闭清理:当客户端关闭时，确保所有 MCP 后台进程都被彻底清理干净，不留后患。
    • 健康检查机制:定期检查 MCP 插件的状态，及时发现异常的持久化行为。
    • 后台活动监控与限制:监控并记录 MCP 后台的所有活动，并限制其操作和持续时间।
  • 可靠的部署与运行时安全:
    • 隔离环境:强烈建议将服务器运行在隔离的环境中（如容器、虚拟机或沙箱），防止恶意代码逃逸和横向移动。
    • 容器安全:如果使用容器，务必进行安全配置，以非 root 用户运行容器，采用不可变基础设施和运行时保护।
    • 资源限制:为 MCP 插件设置资源使用上限，防止因大模型故障导致的无限循环或过度调用।
  • 完善的代码与数据完整性保障:
    • 完整性验证机制:使用数字签名、校验和等方式确保代码未被篡改।
    • 远程验证:支持远程验证代码完整性的机制，增加安全性।
    • 代码混淆与加固:提高代码被逆向工程的难度।
  • 细致的供应链安全管理:
    • 依赖管理:安全地管理第三方依赖।
    • 包完整性与来源验证:确保引用的软件包是完整且可信的।
    • 安全构建:保证软件的构建过程是安全的।
  • 全面的监控与日志记录:
    • 异常检测与告警:及时发现并报告异常活动।
    • 详细的日志记录:记录所有服务活动和安全事件，并进行集中化管理，确保日志的完整性，提供审计能力।
  • 严格的调用环境隔离:
    • MCP 实例隔离:确保多个 MCP 服务器实例之间的操作是相互隔离的।
    • 资源访问控制:为每个 MCP 服务器明确定义资源访问边界।
    • 工具权限分离:为不同领域的工具设置不同的权限集।
  • 广泛的平台兼容性与安全:
    • 系统资源隔离:根据不同操作系统特性实施合适的资源隔离策略।
    • 跨平台兼容性测试:在不同的操作系统和客户端上测试 MCP 服务器的安全行为是否一致।
    • 平台特定风险评估:评估每个平台特有的安全风险并采取缓解措施।
  • 重视数据安全与隐私:
    • 数据最小化:只收集和处理必要的数据।
    • 数据加密与隔离:对敏感数据进行加密存储和传输，并确保不同用户的数据相互隔离।
    • 敏感数据识别与处理:自动识别并以特殊方式处理敏感数据।
  • 精细化的资源与工具安全控制:对资源的访问、大小、模板参数以及工具的编码实践、执行环境、输入输出验证、权限控制、行为约束等方面都提出了详细的安全要求।
  • 用户交互安全:
    • 清晰的用户界面:UI 应该清晰地展示 AI 操作的范围和潜在影响，并提供直观的安全指示器।
    • 敏感操作确认:高风险操作必须明确需要用户确认।
    • 透明的权限请求:权限请求应明确说明其目的和范围，避免过度授权।
    • 操作可视化与信息透明:工具调用和数据访问应可见且可审计，用户可以选择是否显示隐藏标签，确保上下文一致性।
  • AI 控制与监控:记录关键 AI 操作，检测异常模式，限制工具调用频率和数量。
  • 本地存储安全:安全存储凭据，隔离敏感用户数据。
  • 应用安全与客户端认证授权:验证应用完整性，强制认证，安全实现 OAuth 等协议।
  • MCP 工具与服务器管理:验证工具的真实性和完整性，安全更新，防止命名冲突和恶意行为，维护可信服务器目录，实施版本控制等।
  • 强大的 Prompt 安全机制:
    • Prompt 注入防御:实施多层防御措施，防止 Prompt 注入攻击।
    • 恶意指令检测:检测并阻止潜在的恶意用户指令，包括预加载的恶意 Prompt 和第三方 MCP 服务器提供的工具中嵌入的有害指令।
    • 系统 Prompt 保护与敏感数据过滤:防止系统 Prompt 被篡改，过滤掉 Prompt 和上下文中的敏感个人数据।
    • 上下文隔离与 Prompt 模板:确保不同来源的上下文相互隔离，使用安全的 Prompt 模板।
    • 工具描述验证与 Prompt 一致性验证।
    • 历史上下文管理:明确清理历史上下文的机制，防止数据积累和信息泄露।

🛠️ 配置方法与配置流程:将安全融入你的 MCP 应用

与其说是“配置”这款检查清单本身，不如说是开发者需要参照这份清单中的各项安全要点，来配置和加固自己的 MCP 应用。这就像拿到了一份详细的体检报告，你需要根据报告中的指标和建议，对自己的“身体”进行调理和保护。

具体的“配置流程”可以理解为以下几个步骤:

  1. 认真研读清单:开发者需要仔细阅读并理解清单中列出的每一个安全要点及其重要性标识（推荐、强烈推荐、必须）。
  2. 风险评估:针对自己的 MCP 应用场景和所涉及的敏感操作（例如是否涉及加密货币交易，是否需要访问用户隐私数据等），评估哪些安全要点是当前最需要关注和实施的。
  3. 制定安全策略:根据风险评估结果，制定详细的安全策略和实施计划，明确哪些安全措施需要优先实现，哪些可以根据实际情况选择性实施。
  4. 实施安全措施:根据制定的安全策略，在 MCP Server、Client 和 Host 的开发、部署和运行过程中，逐一落实清单中相关的安全措施，例如进行输入验证、实现访问控制、加密敏感数据、过滤恶意 Prompt 等。
  5. 持续监控与更新:安全是一个持续的过程。开发者需要建立完善的监控机制，定期审查和更新安全策略，及时应对新的安全威胁。同时，也需要关注 MCP 安全检查清单的更新，以便及时采纳最新的安全建议。

🔗 工具地址

你可以在 GitHub 上找到这份宝贵的 MCP 安全检查清单:

https://github.com/slowmist/MCP-Security-Checklist