Lời hứa của MCP rất tinh tế: cung cấp cho các tác nhân một cách gọi công cụ nhất quán và có thể kiểm tra. Nhưng một điểm nhấn quan trọng đang nổi lên—sau khi người dùng cấp quyền cho máy chủ, bề mặt rủi ro không thu hẹp lại; nó chuyển dịch. Một chỉ dẫn ẩn trong phản hồi hoặc ngữ cảnh của máy chủ có thể thúc đẩy mô hình sử dụng chính các công cụ mà nó được phép gọi, giờ đây nhằm mục đích rò rỉ token, khóa API hoặc dữ liệu nội bộ. Đây không phải là jailbreak theo nghĩa truyền thống; mà là một cuộc tấn công điều hướng sau phê duyệt tận dụng khả năng hợp pháp.
Mô hình này có vẻ đơn giản nhưng rất tinh vi. Người dùng phê duyệt một máy chủ và một bộ công cụ. Sau đó, máy chủ trả về một payload có vẻ vô hại nhưng chứa các chỉ dẫn được thiết kế chiến lược. Mô hình, hoạt động trong phạm vi quyền được cấp, tuân theo: nó gọi một lệnh đã được phê duyệt, đọc một tệp hoặc biến môi trường, và truyền kết quả đến điểm cuối do kẻ tấn công kiểm soát. Vì mỗi bước đều nằm trong phạm vi kỹ thuật, các kiểm tra chính sách đơn giản dễ dàng cho phép và các bộ lọc jailbreak truyền thống hiếm khi kích hoạt. Ranh giới tin cậy đã chuyển từ cú nhấp chuột sang toàn bộ vòng lặp hội thoại và gọi công cụ.
Đối với các doanh nghiệp thử nghiệm quy trình tác nhân, hệ quả là thực tiễn, không chỉ lý thuyết. Các biện pháp kiểm soát bảo mật phải quản lý cách thức, thời điểm và với tham số nào công cụ được sử dụng—đặc biệt là truy cập bí mật, kiểm tra hệ thống và gọi mạng bên ngoài. Các nhóm tuân thủ và kiểm toán nên xem các máy chủ MCP như phần mềm bên thứ ba: yêu cầu xác nhận, cô lập qua kiểm soát mạng và namespace, luân phiên thông tin đăng nhập tạm thời, và bắt buộc ghi nhật ký chống giả mạo. Quan trọng nhất, tách quyền phê duyệt công cụ khỏi điều kiện cho phép sử dụng nó trong một yêu cầu cụ thể.
Các biện pháp giảm thiểu tồn tại, nhưng phải chính xác. Thực thi danh sách tham số cho phép và mặc định từ chối các ký tự đại diện nguy hiểm. Yêu cầu xác nhận ngoài băng tần cho các thao tác rủi ro cao (đọc bí mật, ghi tệp, gửi đến URL bên ngoài). Sử dụng ký mã hóa phản hồi máy chủ và liên kết phê duyệt với các phiên ngắn hạn có phạm vi hẹp. Chèn tường lửa ngữ cảnh để loại bỏ hoặc cách ly các chỉ dẫn tìm công cụ xuất phát từ nội dung không tin cậy. Cuối cùng, giám sát các mẫu cưỡng ép—rò rỉ dữ liệu đột ngột, né tránh lược đồ lặp đi lặp lại, hoặc mô hình lặp lại chỉ dẫn tiết lộ token—và tự động thu hồi phiên khi phát hiện.