MCP生产安全需构建四层纵深防御

将MCP用于生产级多智能体平台时，安全边界不能只放在流量网关上。更完整的做法是分别控制工具执行、管理基础设施、出站信任边界和语义完整性，并在各自最早的可信位置实施策略。2026年前60天内，针对MCP部署的CVE报告已超过30个；扫描500多个服务器的数据显示，38%的关键端点缺少认证，43%存在命令执行漏洞。

网关适合集中处理认证、授权、审计和策略评估，但无法判断工具处理器是否安全执行参数，也不能隔离检查器、测试工具和管理控制台，或限制服务器携带过宽凭据访问外部目标，更无法发现已批准工具定义的后续变化。微软3月10日修复Azure MCP Server的SSRF漏洞CVE-2026-26118，CVSS评分为8.8，该漏洞可能造成托管身份令牌泄露，说明仅有入站认证并不足够。3月9日发布的2026路线图将企业就绪性列为重点；4月2日至3日的开发者峰会上，亚马逊云科技、优步和Pinterest分别分享了网关、注册中心及领域服务器架构，企业采用速度已快于安全规范成熟速度。

四层控制中，第一层是执行，重点是把参数当作数据，禁止未经验证的输入进入shell或动态解释器。前60天记录的30个CVE中有13个属于这一模式，涉及exec()、eval()、环境变量换行注入等问题。工具应使用数组参数调用execFile或spawn，避免字符串拼接；CI可通过Semgrep拦截exec、eval、os.system及subprocess(shell=True)等由处理器触达的危险用法。

第二层是管理基础设施，覆盖检查器、harness、注册界面和控制台，应为每个管理端点强制认证，并隔离开发工具网络、收紧文件系统权限，以应对未认证检查器CVE-2026-23744和恶意深链接CVE-2026-23523。第三层是出站信任边界，应在网络层配置出站允许列表，并为不同工具和目标分配作用域身份令牌；维护允许列表会增加运维成本，也可能影响新增外部端点的服务器。

第四层是语义完整性，针对工具定义被替换、拼写仿冒、跨服务器上下文滥用及多组件攻击链。工具Manifest应在注册时固定并使用SHA-256规范化，后续通过差异评审而不是简单的允许或拒绝门控处理升级，同时为端点访问、数据移动和延迟模式建立行为基线。合法升级需要重新审批，稳定基线通常要经过两到三周的流量冷却期。该框架与现有MCP规范兼容，生产部署可先落地CI门控、工具隔离、出站控制、作用域令牌和Manifest评审，无需等待规范进一步完善。