MCP Security Checklist 專案

MCP工具

MCP Security Checklist 專案

MCP-Security-Checklist 是一個由全球知名的區塊鏈安全公司 慢霧科技 (SlowMist) 建立和維護的綜合性安全檢查清單。此專案專為基於模型內容協定 (Model Context Protocol, MCP) 的 AI 工具而設計，旨在為開發者提供一個系統性的安全指南，以保護整個大型語言模型 (LLM) 的外掛生態系。

核心價值：為新興的 AI 工具生態系建立安全標準

隨著 MCP 標準被 Claude Desktop、Cursor 等主流 AI 應用廣泛採用，一個龐大且充滿活力的外掛生態系正在迅速形成。然而，這種快速發展也帶來了前所未有的安全挑戰。一個惡意的 MCP 外掛，或是一個設計上存在漏洞的外掛，都可能導致使用者資料洩露、資金損失或系統被惡意控制。

MCP-Security-Checklist 的核心價值就在於，它提供了一套全面、系統化且具備優先級的安全框架，幫助開發者在設計、開發和部署 MCP 工具時，能夠預先識別並緩解潛在的安全風險。這份清單不僅是理論指導，更是來自慢霧團隊在實際安全審計工作中總結出的實踐經驗。

清單的主要內容與結構

此專案將 MCP 的架構拆解為不同的組件和場景，並針對每個環節提出了詳細的安全檢查點。清單中的每個項目都標示了三種優先級（必須、強烈建議、建議），讓開發者可以根據情境判斷其重要性。

其主要涵蓋了以下幾個關鍵領域：

1. MCP 伺服器（外掛）安全:

   • 這是最核心的部分，涵蓋了從 API 安全（輸入驗證、速率限制）、伺服器身份驗證與授權、背景程序控制，到部署與執行階段安全（如使用沙箱隔離環境）、供應鏈安全（依賴項管理）以及資料安全與隱私保護等各個層面。

2. MCP 客戶端/主機安全:

   • 這部分關注的是使用者直接互動的應用程式（如 Claude Desktop）。檢查點包括使用者互動安全（例如，高風險操作必須由使用者二次確認）、提示詞安全（防範提示詞注入攻擊）、本地儲存安全（如金鑰的安全存放）以及對 MCP 工具和伺服器的管理（如驗證外掛的真實性）。

3. 與不同 LLM 的適配與調用安全:

   • 指出不同的 LLM 在處理和執行 MCP 工具時可能存在邏輯差異，需要確保 LLM 能夠安全、正確地調用外掛功能，並防禦惡意指令。

4. 多 MCP 場景下的安全:

   • 這是一個非常實際的風險點。當使用者同時啟用多個 MCP 外掛時，惡意外掛可能會「劫持」其他外掛的功能優先級，或透過返回惡意提示詞來觸發其他外掛執行敏感操作。此部分提供了針對性的防護建議。

5. 加密貨幣相關 MCP 的獨特安全要點:

   • 鑑於慢霧在區塊鏈安全領域的深厚背景，此部分為加密貨幣相關的 MCP 工具（如錢包管理、交易簽署工具）提供了專門的、極其重要的安全建議，包括私鑰保護、交易資訊確認、資金操作的二次驗證等。

總結來說，MCP-Security-Checklist 是一個權威且不可或缺的安全資源。對於任何想要開發或使用 MCP 工具的開發者、研究人員和安全專家而言，它都是一份必讀的指南。它不僅提升了單個工具的安全性，更有助於建立一個更健康、更可信的 AI 外掛生態系。

• MCP平台來源: github
• 連結: https://github.com/slowmist/MCP-Security-Checklist

立即試用MCP工具