读：MCP 时代的安全威胁——幻觉权限与三道防线
内容提要
MCP时代AI Agent面临“幻觉权限”安全威胁，即AI被恶意prompt欺骗执行越权操作。文章提出三道防线：默认最小权限，限制工具参数；人机回环，破坏性操作需人工审批；零信任逐调鉴权，每次调用验证用户身份。三者结合，确保Agent能力不超用户权限，防止数据泄露或破坏。
延伸解读
幻觉权限的本质：信任半径过宽
文章指出，MCP时代AI Agent的安全问题并非模型本身变坏，而是其“信任半径”过宽。传统程序权限在代码中写死，而LLM的行为依赖自然语言输入，容易被恶意prompt误导。当Agent持有过宽的API密钥时，攻击者可通过注入指令让Agent执行越权操作，如删除数据库表。核心在于基础设施无条件信任Agent的每次调用，导致“幻觉权限”成为可能。
从信息窃取到执行破坏：Prompt注入的升级
文章对比了2023年与MCP时代的Prompt注入差异：早期攻击多停留在信息窃取层面，如诱导AI输出私密邮箱；而MCP时代攻击升级为执行破坏，例如在简历PDF中嵌入隐藏指令，让HR Agent调用数据库工具删除表。这种升级源于Agent获得了实际工具调用能力，攻击者不再需要直接接触系统，只需通过输入内容操纵Agent即可造成实质性损害。
三道防线的协同逻辑
文章提出的三道防线并非孤立，而是层层递进：默认最小权限限制Agent能执行的操作范围，人机回环对破坏性操作增加人工审批，零信任逐调鉴权确保Agent权限不超过调用它的用户。三者结合，即使攻击者成功注入恶意指令，Agent也无法超出用户权限执行操作，从而在利用Agent自主能力的同时控制安全风险。
Q&A
什么是MCP时代的“幻觉权限”安全威胁？
“幻觉权限”是指AI Agent在MCP（模型上下文协议）环境下，被恶意prompt欺骗，误以为自己拥有管理员权限，从而执行越权操作的安全威胁。由于AI Agent能访问数据库、Slack等工具，且其行为由自然语言动态决定，攻击者可通过注入恶意指令让Agent执行删除数据、退款等危险操作。
MCP时代prompt注入攻击与之前相比有什么升级？
MCP时代prompt注入从1.0的信息窃取升级到2.0的执行操作。1.0时代攻击者通过隐藏指令让AI泄露私密信息；2.0时代攻击者利用Agent的工具权限，通过恶意指令让Agent执行如删除数据库表、发送消息等实际破坏性操作。
如何通过默认最小权限原则保护AI Agent？
默认最小权限原则要求给Agent的工具设计严格限定的参数，避免提供万能执行函数。例如，用参数化的get_user_status(user_id)代替execute_sql，并使用只读数据库账号，使LLM无法构造任意SQL语句。这样即使LLM被诱导，也无法执行超出权限的操作。
人机回环（HITL）在AI Agent安全中如何起作用？
人机回环要求Agent的破坏性操作（如退款、删除仓库）必须经过人工审批。Agent调用工具时，系统不立即执行，而是创建审批请求并通知操作员，返回“暂停中”状态。这样即使攻击者注入恶意指令，操作也会被拦截在审批环节，防止实际损失。
零信任逐调鉴权原则的核心思想是什么？
零信任逐调鉴权原则的核心是Agent应代表用户执行操作，只继承用户的权限，每次工具调用都用原始用户的token鉴权。例如，用户A让Agent删除用户B的文件，工具层会因A的token无权限而拒绝。这确保Agent的能力不超过调用它的用户，防止越权。
三道防线（最小权限、人机回环、零信任）是如何协同工作的？
三道防线协同覆盖不同场景：默认最小权限管住大多数只读操作，限制Agent能执行的范围；人机回环管住必须写的情况，确保破坏性操作需人工批准；零信任逐调鉴权管住用户边界，确保Agent操作不超过用户权限。三者结合，确保Agent的每次工具调用都安全可控。
