MCP 伺服器上線前的安全課

概要

• 設計不好，安全也不好Tun Shwe 認為設計差和安全差會互相放大，設計沒做對，後面再多 OAuth 也救不了，再借 Jeremiah Lowin 提的 agent 與人的三個差異（探索、重試、context），逐一補上各自的安全風險。
• 五條安全設計原則縮小攻擊面、在 schema 層限制輸入、把文件當防線、只回傳 agent 需要的資料、縮小爆炸半徑。Tun 說這五條在寫任何一行驗證程式之前就能擋掉 OWASP MCP top 10 裡的風險。
• 從 stdio 到遠端是一道懸崖本機 stdio 不需要驗證，上線要用 streamable HTTP，OAuth、token 管理、TLS、rate limiting 得一次到位，沒有漸進的過渡。
• API key 的做法撐不久Jeremy 說今天多數遠端 MCP 伺服器還是用長效、沒有範圍限制的 API key，這種做法仍占 50% 以上。
• DCR 解決註冊，卻帶來新問題動態註冊讓 client 不必預先登記，但每次連線都會多一筆註冊、任何人都能對註冊端點送請求，伺服器也只能相信 client 自己宣稱的資訊。
• CIMD 是目前偏好的做法client 把自己的 ID 公開在一個網址上，由授權伺服器去抓。Jeremy 說這是 2025 年 11 月起的偏好做法，企業級還要再加權限、遮罩、記錄與追蹤。

原話

• “A badly designed MCP server is also a badly secured one.”

  設計差的 MCP 伺服器，安全也差。這句是 Tun 自己的主張

  ▶ 01:49

• “If you get the design wrong, no amount of OAuth will save you.”

  設計做錯，再多 OAuth 也救不了你。Tun 說的

  ▶ 04:58

• “you're either behind the wall or you're standing out in the open”

  你不是躲在牆後，就是站在空地上。Tun 在講上線沒有半套

  ▶ 09:36

• “Anyone can post to that endpoint, the slash register endpoint, including attackers.”

  任何人都能對那個 /register 端點送請求，包括攻擊者。Jeremy 在講 DCR 的缺點

  ▶ 19:26

• “If you cannot trace what an agent did end-to-end, you cannot govern it.”

  無法端到端追蹤 agent 做了什麼，就談不上治理。Jeremy 說的

  ▶ 23:40

延伸

• Tun 在談 context 那段說 agent 大約只有 200,000 個 token 可用，沒有再說明這個數字的來源。
• 壓測那段 Tun 只說是 Stacklok 做的，沒有交代測試條件，筆記只收報出來的數字。
• Jeremy 最後只提到企業級還需要權限、遮罩、記錄與追蹤，沒有展開各自的實作方式。