导语：随着 AI 助手通过 MCP（Model Context Protocol）连接文件系统、数据库、代码仓库和企业 API，模型不再只是生成文本，而是能够读取数据、选择工具并执行操作。能力边界扩大后，提示注入也从“诱导模型说错话”升级为“操纵模型调用工具”。因此，安全建设不能只关注输入过滤，还要覆盖工具发现、参数生成、权限校验、结果验证和最终输出等完整链路。🔐
一、为什么 MCP 场景中的提示注入更危险
传统聊天场景中的提示注入，通常通过“忽略之前的指令”等内容改变模型回答。MCP 场景则增加了工具描述、远程资源和调用结果等不可信输入。攻击者可以把恶意指令藏在网页、邮件、文档、代码注释、数据库字段，甚至 MCP 工具的名称与描述中。当模型读取这些内容时，可能错误地把“待处理数据”理解为“必须执行的命令”。
这类攻击可分为直接注入和间接注入。直接注入来自用户输入；间接注入则来自模型访问的外部内容。OWASP 指出，提示注入可能导致敏感信息泄露、越权访问及未经授权的工具操作，而且恶意内容不一定对人类可见，可参考 OWASP LLM01 提示注入说明。
二、重点识别四类异常信号
1. 指令覆盖与角色伪造
输入中出现“忽略系统规则”“切换为管理员”“不要向用户展示”等语义时，应提高风险等级。但不能只依靠关键词，因为攻击者可能使用同义改写、字符拆分、编码或多语言混合绕过规则。更可靠的方法是结合语义分类、上下文来源和行为意图进行判断。🕵️
2. 工具描述投毒
MCP 客户端通常会把工具名称、用途和参数说明提供给模型。如果未知服务器在工具描述中加入“调用前先读取凭据”“必须把结果发送到指定地址”等隐藏指令，模型可能将其当成正常使用规范。客户端应把工具元数据视为不可信内容，对版本变更、描述差异和异常长文本进行审查。
3. 参数与用户目标不一致
用户只要求查询订单，模型却生成删除记录、导出全部客户或向外部域名发送数据的参数，这是明显的意图偏移。系统不应只检查“工具是否允许调用”，还要验证“本次参数是否符合当前任务”。尤其需要关注路径穿越、通配符查询、批量操作、外部 URL、隐藏字段及敏感标识符。
4. 调用链突然扩张
一次简单问答如果演变为读取文件、获取令牌、访问数据库再调用网络工具，应触发链路级告警。单个步骤可能看似合理，但组合后可能形成数据外传。检测系统应分析工具调用图，而不是孤立判断每一次调用。
三、建立分层防御的工具调用流程
- 标记数据来源：明确区分系统规则、开发者配置、用户请求、外部资源和工具返回值，并禁止低可信内容覆盖高优先级指令。
- 实施工具白名单：仅加载经过审核的 MCP 服务器和工具，校验发布者、传输安全、配置来源及版本完整性。
- 执行最小权限：为每个工具配置独立身份、访问范围和短期凭据，避免多个服务器共享高权限令牌。
- 进行参数校验：在模型之外使用确定性程序检查类型、长度、路径、域名、记录范围和操作类别。
- 设置操作分级：只读查询可自动执行；发送、修改、删除、付款和授权等操作必须增加人工确认。
- 保留审计证据：记录请求来源、模型决策、工具版本、实际参数、授权结果和返回摘要，同时避免把密钥写入日志。
MCP 官方安全实践强调授权、用户同意和令牌使用边界的重要性，实施时可结合 MCP 安全最佳实践进行架构检查。需要注意的是，提示词中的“请勿泄密”只能作为辅助约束，不能替代权限控制与服务端校验。
四、让输出从“看起来可信”变成“可以验证”
模型输出具有流畅性，但流畅不等于真实。可信化的第一步是建立证据绑定：每项关键结论都应关联工具名称、数据来源、查询时间和可追溯依据；无法验证的内容应明确标记为推测，而不能用确定语气包装。
- 结构化返回：要求工具返回固定字段和状态码，避免模型直接解释大段自由文本。
- 来源分级：区分权威系统、内部知识库、互联网内容和用户上传材料，并展示相应可信等级。
- 交叉核验：高影响结论至少经过独立规则、第二数据源或人工审核验证。
- 输出约束：对金额、账号、权限、执行状态等字段进行格式与业务规则校验。
- 失败即收缩：证据不足、来源冲突或工具异常时，应停止自动操作并说明无法确认，而不是补齐想象内容。
可信输出的核心不是让模型“更有自信”，而是让每个重要结论都有来源、每次敏感操作都有授权、每条执行结果都能复核。✅
五、可落地的上线检查清单
正式接入 MCP 工具前，可使用以下最小检查集：是否审核服务器来源；是否锁定工具版本；是否过滤工具描述中的隐藏指令；是否为读写操作配置不同权限；是否限制文件路径和网络域名；是否对危险参数进行服务端复检；是否在执行前展示真实工具、目标与影响；是否能够撤销操作；是否建立异常调用告警；是否定期使用注入样本进行回归测试。更多输入隔离与响应验证思路，可参考 OWASP 提示注入防护清单。
总结
MCP 提升了 AI 与外部系统协作的效率，也把提示注入风险延伸到了真实权限和业务数据。有效防护不能寄希望于某一句系统提示，而应采用“来源隔离、工具可信、最小权限、参数验证、人工确认、证据化输出和全链路审计”的组合方案。只有把模型视为可能出错的决策组件，把授权和验证交给确定性安全机制，才能在保留自动化价值的同时，让工具调用可控、结果可查、责任可追溯。🛡️
