接 MCP 的安全边界：工具描述和返回值，都是别人写给模型看的

它替你干掉什么：干掉「装完才发现它能读我 SSH 私钥」

第一条立刻能跑的用法

# ① 先看它到底给了模型什么（官方调试器，Web UI / CLI / TUI 三种界面）
npx @modelcontextprotocol/inspector

# ② 再扫一遍机器上已装的所有 server 与 skill
export SNYK_TOKEN=...
uvx snyk-agent-scan@latest

# ③ 当场把爆炸半径缩一圈：只读 + 只开要用的工具组
github-mcp-server --read-only --toolsets repos,issues

第 ① 条的重点不是「连上了」，而是逐个读一遍 tools/list 返回的描述文本。那段文本会原样进入模型上下文；它由 server 作者写，不由你写。第 ② 条有个坑值得单独说：网上大量教程还在教 uvx mcp-scan@latest——那个仓库 invariantlabs-ai/mcp-scan 现在已经是 snyk/agent-scan，包名也换成了 snyk-agent-scan，并且要求 SNYK_TOKEN。抄命令前先看仓库现状，这条纪律上一期刚交过一次学费。

机制：为什么「工具描述」是攻击面，而不是文档

规范自己怎么说

MCP 规范（2026-07-28 版）在 server/tools.mdx 里给了两句几乎是本期全部理论的话：「clients MUST consider tool annotations to be untrusted unless they come from trusted servers」，以及「there SHOULD always be a human in the loop with the ability to deny tool invocations」。注意第一句的措辞——不可信的不只是返回值，连 server 自己标注的「我这个工具是只读的」也不可信。

规范总则那一节把它归到三条原则：用户须明确同意并理解所有数据访问与操作；宿主在把用户数据暴露给 server 前须取得同意；「Tools represent arbitrary code execution and must be treated with appropriate caution」。工具等于任意代码执行——这是规范原话，不是本站的修辞。

真实用法与边界：十一个条目，三层防线

第一层 · 装之前验货

• MCP Inspector。替你干掉：凭直觉信任一个 server。怎么装：npx @modelcontextprotocol/inspector，Web UI / CLI / TUI 三种界面，CLI 支持 --format json 可进 CI。什么时候别装：它是调试器不是防护，别指望它拦住什么——它只让你看见。
• snyk/agent-scan（原 invariantlabs-ai/mcp-scan）。替你干掉：逐个人肉读描述。怎么装：uvx snyk-agent-scan@latest（0.5.x 线为 uvx snyk-agent-scan@0.5.17），需 SNYK_TOKEN；它扫已装的 server 与 skill，标记提示注入、tool poisoning、tool shadowing、toxic flow、描述里的危险词、以及 skill 里的硬编码密钥与可疑下载地址。什么时候别装：不接受把本地配置清单送去做云端分析时——这是它换来覆盖面的代价。
• MCP Registry（据 GitHub 仓库页 2026-09 约 7.2 千 star）。替你干掉：从一条博客链接去装一个不知道谁发布的包。怎么用：查命名空间归属——发布到 io.github.<user>/<server> 必须以该 GitHub 身份认证，自定义域名要过 DNS 或 HTTP 挑战。什么时候别依赖它：它至今仍是 preview（据仓库 README，预览版自 2025-09-08 起，官方明说可能有破坏性变更与数据重置），归属校验不等于代码审计。
• mcp-injection-experiments。替你干掉：把攻击当传说。怎么用：三个脚本读十分钟——direct-poisoning.py、shadowing.py、whatsapp-takeover.py。什么时候别碰：别在日常工作机上跑，读代码就够。

第二层 · 运行时围栏

• mcp-context-protector（据 GitHub 仓库页 2026-09 约 224 star，Apache-2.0）。替你干掉：rug pull——今天审过的描述，明天换了你不知道。怎么装：uv sync 后用 mcp-context-protector.sh --command "<下游 server 命令>" 把它包在中间；它对 server instructions、工具描述、入参 schema 做首次信任即固定，之后语义有变就拦下等你批；顺带过滤用于视觉欺骗的 ANSI 控制字符，加 --guardrail-provider LlamaFirewall 还能隔离可疑的工具返回值。什么时候别装：你只接官方自家 server 且客户端已有审批门时，这层收益有限。
• docker/mcp-gateway（据 GitHub 仓库页 2026-09 约 1.6 千 star，MIT）。替你干掉：一堆 npx 起的进程裸跑在你的 home 目录里。怎么装：docker mcp gateway run（可加 --profile / --port / --transport），每个 server 一个容器，密钥走 docker mcp secret，可按 profile 逐个启停具体工具。什么时候别装：只接一两个本地 server 时，容器与镜像的运维税大于收益。
• ToolHive（据 GitHub 仓库页 2026-09 约 2.2 千 star，Apache-2.0）。替你干掉：团队里每个人各装各的、无人知道谁接了什么。怎么用：容器隔离 + 权限档案 + 加密密钥 + 网络出口控制，有桌面端、CLI 与 Kubernetes Operator 三种形态，配合 IdP 做身份与审计。什么时候别装：个人单机——它解决的是组织问题，一个人用纯属负重。

第三层 · 客户端权限（最便宜，先做这层）

• 全限定名 + deny 规则。MCP 协议本身不保证工具名跨 server 唯一，这正是 shadowing 的土壤；Claude Code 的做法是把每个工具重命名为 mcp__<server>__<tool>（A-Z a-z 0-9 _ - 之外的字符换成 _；plugin 形态是 mcp__plugin_<plugin>_<server>__<tool>），权限规则、hook matcher、subagent 的 tools 用的都是这个名字。怎么用："deny": ["mcp__*"] 一条关掉全部 MCP 工具；"deny": ["mcp__database__drop_table"] 点名封杀。
• allow glob 必须锚定 server 段。mcp__github__get_* 有效，而 "*" / "mcp__*" 这类不锚定的 allow 会被直接跳过并告警。这个设计值得抄：允许必须点名到具体 server，新接进来的 server 蹭不进你的允许列表。另：settings 文件里带括号的 mcp__ 规则会被跳过，要按参数匹配得用 --disallowedTools。
• --strict-mcp-config 与 disabledMcpjsonServers。替你干掉：clone 一个仓库就顺手接上了它 .mcp.json 里的 server。交互式会话本来会弹批准框，但 -p、SDK 与云端会话不弹、直接加载；--strict-mcp-config 让它只用你显式传入的配置，disabledMcpjsonServers 按名字在所有会话类型里拒绝。什么时候用：所有 CI 与无人值守场景，无条件。
• requiresUserInteraction（server 侧的自我约束）。替你干掉：一个不可逆操作被 auto 模式一路放行。怎么用：写 server 的人在 tools/list 条目的 _meta["anthropic/requiresUserInteraction"] 里置 JSON 布尔 true，该工具每次调用都弹确认，acceptEdits / auto / bypassPermissions 都盖不住，allow 规则也跳不过。边界：dontAsk 模式下它变成直接拒绝；--permission-prompt-tool 给的 allow 会被转成 deny。
• github/github-mcp-server（据 GitHub 仓库页 2026-09 约 3.29 万 star，MIT）。替你干掉：为了读 issue 而交出写权限。怎么用：--read-only（或 GITHUB_READ_ONLY）——README 写明写操作会被跳过，即使被显式请求；--toolsets（或 GITHUB_TOOLSETS）默认只给 context,repos,issues,pull_requests,users，all 才全开。什么时候别这么配：确实要它开 PR 那天再去掉 --read-only，然后加回来。

还有一层不属于工具，属于协议

如果你写 server 而不只是装，规范 basic/authorization/security-considerations.mdx 里那几条 MUST 是硬门槛：server MUST NOT 把从客户端收到的 token 直接透传给下游 API；server MUST 校验 token 的受众、只接受发给自己的 token；客户端 MUST 带上 resource 参数、MUST 实现 PKCE 并在无法确认对方支持时拒绝继续；用静态 client ID 的代理型 server，MUST 对每个动态注册的客户端单独取得用户同意（这条治的就是 confused deputy）。

代价与替代品：最该知道的一条是「MCP server 不在沙箱里」

三条诚实的代价

• 沙箱管的是 Bash，不是 MCP。Claude Code 的沙箱文档在讲「为什么禁止沙箱内命令改写配置文件」时把话说透了：能改 .mcp.json 或 .claude/ 的命令，可以给自己加权限，或者加一个跑在沙箱之外的 hook 或 MCP server。换句话说，沙箱之所以要保护这些文件，正是因为 MCP server 本身不受它约束。你的隔离边界在容器或虚拟机，不在 /sandbox。
• 扫描只在扫的那一刻有效。tool poisoning 能被静态扫出来，sleeper rug pull 不能——它的第一版是干净的。所以第一层（扫描）和第二层（固定 + 变更告警）是互补关系，不是二选一。只做扫描等于只在装机那天安全。
• 每一层都在加摩擦。网关多一跳、pinning 每次升级都要重新批、requiresUserInteraction 每次都弹窗。安全措施最常见的死法不是被绕过，是被嫌烦关掉——所以顺序很重要：先做第三层那几条零成本的，第二层只在接外部 server 时才上。

三种「什么都不接」的替代品

• 把 server 换成一个脚本。上一期已经给过例子：官方 webapp-testing 用 Python 脚本替掉了一整个浏览器 server。脚本的权限由你写死，不由描述文本决定。
• 把远程 server 换成本地只读。很多 server 你只用它一两个读接口——--read-only 加 --toolsets 之后，剩下的攻击面通常只剩「返回值里有坏话」这一种。
• 把常驻换成临时。要用的那一小时接上，用完 claude mcp remove。工具税和攻击面同时按分钟计费，这是最被低估的一招。