Giao thức ngữ cảnh mô hình (MCP) là gì?

Giải thích về bảo mật MCP #

Giao thức ngữ cảnh mô hình không xuất hiện kèm theo cảnh báo bảo mật. Nó xuất hiện như một bước đột phá về năng suất, một bước tiến mang tính cách mạng. standard Điều này cho phép các trợ lý AI vượt ra ngoài cửa sổ trò chuyện và tương tác trực tiếp với các công cụ, tệp, API, v.v. pipelineVào thời điểm các nhóm bảo mật bắt đầu hỏi MCP là gì, nó đã được sử dụng rộng rãi trong môi trường phát triển phần mềm.

Khoảng cách giữa việc áp dụng và quản trị chính là nơi các cuộc tấn công chuỗi cung ứng nhắm đến. Hiểu rõ Giao thức Ngữ cảnh Mô hình (MCP) là gì, máy chủ MCP hoạt động như thế nào và những rủi ro mà chúng gây ra hiện nay là điều vô cùng quan trọng. yêu cầu cốt lõi đối với bất kỳ nhóm DevSecOps nào hoạt động trong môi trường AI..

Giao thức ngữ cảnh mô hình là gì? Định nghĩa #

Giao thức ngữ cảnh mô hình (MCP) là một giao thức mở. standard Điều này định nghĩa cách các mô hình ngôn ngữ lớn giao tiếp với các công cụ, nguồn dữ liệu và dịch vụ bên ngoài. Trong khi trợ lý AI truyền thống chỉ phản hồi bằng văn bản, trợ lý hỗ trợ MCP có thể thực hiện hành động (đọc tệp, truy vấn API, chạy lệnh, cài đặt các phụ thuộc và tương tác với...). CI/CD pipelines) thông qua một giao diện có cấu trúc kết nối mô hình với môi trường của nhà phát triển.

MCP được Anthropic giới thiệu vào tháng 11 năm 2024 và kể từ đó đã được áp dụng rộng rãi trong các công cụ lập trình AI lớn như Claude, Cursor, Windsurf và GitHub Copilot. Nó cung cấp một ngôn ngữ chung cho việc giao tiếp giữa AI và công cụ, tương tự như cách HTTP cung cấp một giao thức chung cho giao tiếp trên web.

Nếu như trợ lý AI là bộ não, thì máy chủ MCP chính là hệ thần kinh kết nối nó với phần thân gồm các công cụ dành cho nhà phát triển.

Nó hoạt động như thế nào? #

MCP hoạt động thông qua kiến ​​trúc máy chủ-máy khách với ba thành phần:

• Máy chủ MCP MCP là ứng dụng mà nhà phát triển làm việc trong đó, một IDE như VS Code, Cursor hoặc Windsurf, hoặc một trợ lý AI như Claude. Máy chủ quản lý các kết nối đến máy chủ MCP và kiểm soát những gì mô hình có thể truy cập.
• Khách hàng MCP Nó nằm bên trong máy chủ và duy trì kết nối một-đối-một với từng máy chủ MCP. Nó dịch các yêu cầu của mô hình thành các lệnh gọi công cụ có cấu trúc và trả về kết quả cho mô hình.
• Máy chủ MCP Đây là cầu nối đến khả năng bên ngoài. Nó cung cấp các công cụ, tài nguyên và lời nhắc mà mô hình có thể gọi. Một máy chủ MCP có thể kết nối với hệ thống tệp, kho lưu trữ GitHub, cơ sở dữ liệu, v.v. CI/CD nền tảng, hoặc một công cụ quét bảo mật. Mỗi lệnh gọi công cụ mà mô hình thực hiện đều đi qua máy chủ MCP, máy chủ này sẽ thực thi lệnh và trả về kết quả.

Khi một nhà phát triển yêu cầu trợ lý AI quét dự án, sửa lỗ hổng bảo mật hoặc cài đặt một gói phụ thuộc, mô hình không thực hiện trực tiếp các hành động đó. Nó gửi một yêu cầu có cấu trúc đến máy chủ MCP liên quan, máy chủ này sẽ thực hiện hành động bằng cách sử dụng các công cụ cục bộ được ủy quyền và trả về kết quả.

MCP so với trợ lý AI truyền thống: Điều gì đã thay đổi? #

Trước MCP, các trợ lý lập trình AI về cơ bản hoạt động thụ động. Chúng có thể đọc mã bạn dán vào khung chat và đề xuất thay đổi, nhưng không thể tác động trực tiếp lên môi trường của bạn. MCP đã thay đổi hoàn toàn mô hình đó.

Sự khác biệt này rất quan trọng đối với vấn đề bảo mật vì nó thay đổi phạm vi mà trợ lý AI có thể tiếp cận. Một trợ lý truyền thống đưa ra lời khuyên sai sẽ khiến bạn mất một chu kỳ xem xét mã. Một trợ lý được hỗ trợ bởi MCP nếu thực hiện hành động sai (cài đặt một phụ thuộc độc hại, thực thi một tập lệnh xây dựng bị xâm phạm hoặc chuyển tiếp thông tin đăng nhập đến một điểm cuối bên ngoài) sẽ khiến bạn phải chịu một sự cố.

MCP biến các trợ lý AI từ vai trò cố vấn thành người vận hành. Sự chuyển đổi này đòi hỏi các biện pháp kiểm soát an ninh tương tự như bạn áp dụng cho bất kỳ người vận hành nào có quyền truy cập vào cơ sở hạ tầng của bạn.

Máy chủ MCP là gì? #

Một MCP Máy chủ là một tiến trình nhẹ, cung cấp các khả năng. Dành cho các máy khách AI tương thích với MCP. Nó định nghĩa một tập hợp các công cụ (các hành động riêng biệt mà mô hình có thể gọi) cùng với các tài nguyên mà mô hình có thể đọc và các mẫu lời nhắc mà nó có thể sử dụng.
Máy chủ MCP hỗ trợ nhiều tích hợp khác nhau: truy cập hệ thống tập tin, GitHub, Slack, cơ sở dữ liệu, phần mềm quét bảo mật, v.v. CI/CD Các nhà phát triển có thể chạy máy chủ MCP cục bộ, trong cơ sở hạ tầng của tổ chức mình, hoặc kết nối với các máy chủ MCP do bên thứ ba cung cấp.
Loại cuối cùng đó là nơi rủi ro bảo mật trở nên cụ thể. Máy chủ MCP của bên thứ ba là một tiến trình bên ngoài có quyền truy cập vào môi trường của nhà phát triển. Nghiên cứu cho thấy 5.5% máy chủ MCP công khai có lỗ hổng làm nhiễm độc công cụ và 43% có lỗ hổng chèn lệnh, có nghĩa là một phần đáng kể các máy chủ MCP có sẵn công khai có thể bị lợi dụng để thao túng hành vi AI, đánh cắp dữ liệu hoặc thực thi các lệnh trái phép.

Rủi ro bảo mật của MCP: Những điều mà nhóm DevSecOps cần biết #

MCP tạo ra một bề mặt tấn công mới mà các công cụ bảo mật ứng dụng truyền thống không được thiết kế để xử lý. Các rủi ro chính bao gồm:

Máy chủ MCP ẩn. Các nhà phát triển cấu hình máy chủ MCP cục bộ mà không có sự phê duyệt hoặc quản lý chính thức, tạo ra một lỗ hổng trong việc kiểm kê. Các nhóm bảo mật không thể bảo vệ những gì họ không thể nhìn thấy.

Ngộ độc dụng cụ. Máy chủ MCP độc hại sẽ phát tán các công cụ trông có vẻ hợp pháp nhưng lại thực thi các hành động gây hại khi được mô hình gọi đến. Vì mô hình tin tưởng vào các định nghĩa công cụ mà nó nhận được, nên nó có thể gọi một công cụ bị nhiễm độc mà không có bất kỳ dấu hiệu rõ ràng nào cho thấy có điều gì đó không ổn.

Tiêm nhanh qua MCP. Nội dung độc hại trong các tệp, tài liệu hoặc phản hồi API có thể chèn các lệnh vào ngữ cảnh của mô hình, thao túng hành vi của nó. Một máy chủ MCP đọc nội dung bên ngoài và chuyển tiếp đến mô hình mà không qua xử lý là một vectơ chèn lệnh trực tiếp.

Can thiệp vào các phụ thuộc. Các máy chủ MCP quản lý việc cài đặt gói hoặc giải quyết phụ thuộc có thể bị xâm nhập để cài đặt các gói độc hại. Khi một tác nhân AI tự động cài đặt một phần phụ thuộc thông qua máy chủ MCP, sẽ không có người kiểm duyệt nào giữa gói độc hại và người cài đặt. pipeline.

Thông tin chứng chỉ bị lộ. Máy chủ MCP thường xử lý các mã thông báo xác thực, khóa API và biến môi trường. Cấu hình MCP không an toàn có thể làm lộ các thông tin xác thực này thông qua ngữ cảnh của mô hình hoặc thông qua nhật ký.

Thực thi công cụ trái phép. Nếu không có danh sách cho phép nghiêm ngặt, trợ lý hỗ trợ MCP có thể gọi các công cụ vượt quá phạm vi dự định, sửa đổi cơ sở hạ tầng sản xuất, truy cập vào các kho lưu trữ nhạy cảm hoặc thực hiện các cuộc gọi API đến các dịch vụ bên ngoài.

Thực tiễn tốt nhất về bảo mật #

Việc bảo mật MCP đòi hỏi phải coi mỗi máy chủ MCP như một thành phần tích hợp có đặc quyền, chứ không phải là một công cụ tiện ích dành cho nhà phát triển.

• Chặn các phụ thuộc độc hại tại điểm cuối. Khi một tác nhân hỗ trợ MCP cài đặt một phần phụ thuộc, quá trình cài đặt đó cần được chặn và quét trước khi thực thi. Phát hiện dựa trên chữ ký là không đủ; các gói phần mềm độc hại nhắm vào các công cụ AI đang được phát tán nhanh hơn tốc độ theo dõi của chữ ký.

• Kiểm kê tất cả các máy chủ MCP. Nắm rõ các máy chủ MCP nào được cấu hình trên các môi trường phát triển của bạn, cục bộ và trong hệ thống của bạn. CI/CD pipelinevà trong cấu hình IDE của bạn. Shadow MCP cũng gặp vấn đề tương tự như Shadow IT, với quyền truy cập trực tiếp vào các công cụ của bạn.

• Áp dụng danh sách cho phép MCP. Chỉ những máy chủ MCP đã được phê duyệt mới được phép hoạt động. Bất kỳ máy chủ nào chưa được phê duyệt cố gắng kết nối đều phải bị chặn ở điểm cuối trước khi nó có thể tương tác với mô hình.

• Áp dụng nguyên tắc quyền hạn tối thiểu cho các định nghĩa công cụ MCP. Mỗi máy chủ MCP chỉ nên cung cấp các công cụ cần thiết cho chức năng cụ thể của nó. Một máy chủ đọc tập tin không nên cung cấp khả năng cài đặt gói phần mềm.

• Xác thực và làm sạch nội dung được truyền qua MCP. Bất kỳ nội dung bên ngoài nào (tệp tin, phản hồi API, kết quả cơ sở dữ liệu) đi qua máy chủ MCP và vào ngữ cảnh của mô hình đều là một vectơ tấn công tiềm tàng. Hãy coi đó là đầu vào không đáng tin cậy.

• Theo dõi tương tác MCP trong quá trình hoạt động. Ghi lại mọi lệnh gọi công cụ mà mô hình thực hiện thông qua máy chủ MCP. Các mẫu bất thường (các lệnh gọi công cụ không mong muốn, kết nối đi ra từ môi trường xây dựng, các lệnh gọi công cụ ngoài giờ làm việc bình thường) là những dấu hiệu sớm cho thấy sự xâm nhập.

Các sự cố an ninh thực tế #

Bảo mật MCP không chỉ là lý thuyết. Đầu năm 2026, nghiên cứu từ Đại học Queen's đã chứng minh rằng các ngăn xếp MCP có... Xác suất khai thác 92% Khi nhiều plugin được kết hợp với nhau. Chiến dịch PromptMink (được cho là do nhóm Famous Chollima do nhà nước Triều Tiên tài trợ) đã thiết kế các gói npm độc hại nhằm đánh lừa các tác nhân lập trình AI hoạt động thông qua giao diện giống MCP để cài đặt phần mềm độc hại đánh cắp thông tin đăng nhập. Các gói này được thiết kế để trông có vẻ hợp pháp đối với các tác nhân AI ngay cả khi người kiểm duyệt là con người sẽ gắn cờ chúng.

Vào tháng 6, 2026, Xygeni đã xác nhận các cụm ollama-helpers và openai-agents-helpers. (Hơn 35 phiên bản kết hợp được phát hành theo từng đợt phối hợp) nhắm mục tiêu trực tiếp vào các gói được sử dụng trong quy trình phát triển tác nhân, nơi các kết nối MCP phổ biến. Khi một tác nhân AI tự động cài đặt một phần phụ thuộc thông qua máy chủ MCP, không có người kiểm duyệt nào đứng giữa gói độc hại và quá trình thực thi.

MCP có ý nghĩa gì trong bối cảnh an ninh chuỗi cung ứng AI? #

MCP nằm ở giao điểm của an ninh AI và software supply chain securityĐó là lớp kết nối các mô hình AI với các công cụ, kho lưu trữ và cơ sở hạ tầng định hình nên thế giới hiện đại. SDLCĐiều này khiến nó đồng thời trở thành điểm tích hợp mạnh mẽ nhất và bề mặt tấn công dễ bị tổn thương nhất trong quá trình phát triển ứng dụng AI.

Bảo mật ứng dụng truyền thống chỉ dừng lại ở kho lưu trữ. EDR giám sát hệ điều hành. Cả hai đều không được xây dựng để hiểu về máy chủ MCP, các lệnh gọi công cụ hoặc cài đặt phụ thuộc thông qua AI. Khoảng trống giữa chúng chính là nơi các cuộc tấn công dựa trên MCP khai thác.

Bảo mật MCP đòi hỏi phải nắm rõ các máy chủ MCP đang chạy, các công cụ chúng cung cấp, mô hình đang gọi những gì và liệu các phụ thuộc và tệp đang được xử lý đã được xác thực hay chưa. Đó là sự kết hợp giữa kiểm kê AI, giám sát hành vi và bảo mật chuỗi cung ứng trong một vấn đề duy nhất.

Bảo mật MCP với Xygeni
#

Bảo mật MCP đòi hỏi nhiều hơn là chỉ các tài liệu chính sách và danh sách kiểm tra thực tiễn tốt nhất. Nó đòi hỏi khả năng giám sát liên tục các máy chủ MCP đang chạy trên môi trường phát triển của bạn, giám sát hành vi của mọi lệnh gọi công cụ mà mô hình thực hiện, và khả năng chặn các phụ thuộc độc hại tại điểm cuối trước khi chúng được thực thi, trước khi có chữ ký. Hiểu rõ Giao thức Ngữ cảnh Mô hình (Model Context Protocol - MCP) là điều then chốt.

Nền tảng bảo mật AI của Xygeni Bao quát toàn bộ bề mặt tấn công của MCP: lập danh mục mọi máy chủ MCP thông qua AI-SPM, phát hiện các lỗ hổng bảo mật như đầu độc công cụ, chèn mã độc và cấu hình MCP không an toàn thông qua quét bảo mật AI phù hợp với OWASP MCP Top 10, và thực thi chính sách tại điểm cuối của nhà phát triển thông qua Shield, chặn các máy chủ MCP không được phê duyệt và các thành phần phụ thuộc độc hại trước khi chúng tiếp cận được... pipeline.

Nếu nhóm của bạn đang sử dụng các trợ lý lập trình AI, thì lớp MCP đã là một phần của bề mặt tấn công. Vấn đề là liệu bạn có thể nhìn thấy nó hay không.

FAQ #