MCP 的承諾很優雅：為代理提供一種一致且可審計的工具呼叫方式。但一個關鍵的細節正在浮現——使用者授權伺服器後，風險面並未縮小，而是轉移了。伺服器回應或上下文中隱藏的指令，可能引導模型使用其被允許呼叫的工具，卻朝向洩漏令牌、API 金鑰或內部資料的方向。這不是傳統意義上的越獄；而是一種利用合法能力的批准後操控攻擊。

這個模式看似簡單。使用者批准一個伺服器和一組工具。之後，該伺服器回傳一個看似無害的載荷，其中包含策略性設計的指令。模型在其授權範圍內運作，遵從指令：呼叫已批准的命令，讀取檔案或環境變數，並將結果傳送至攻擊者控制的端點。由於每一步技術上都在範圍內，簡單的政策檢查通過，傳統的越獄過濾器也很少觸發。信任的邊界已從按鈕點擊，轉移到整個對話與工具呼叫循環。

對於試行代理工作流程的企業來說，這些影響是操作層面的，而非理論上的。安全控管必須規範工具的使用方式、時間及參數，尤其是涉及秘密存取、系統內省和外部網路呼叫。合規與審計團隊應將 MCP 伺服器視為第三方軟體：要求證明、透過網路與命名空間控管隔離、輪替短期憑證，並強制防篡改日誌。最重要的是，將批准工具的權限與允許在特定請求中使用該工具的條件分開。

防範措施存在，但必須精確執行。強制參數允許清單，預設拒絕危險的萬用字元。對高風險操作（讀取秘密、寫檔、發送至外部 URL）要求帶外確認。使用伺服器回應的密碼簽名，並將批准綁定於短期且範圍狹窄的會話。插入上下文防火牆，剝離或隔離來自不受信內容的工具指令。最後，監控強迫模式——突發資料外洩、反覆規避結構或模型重複指令洩露令牌，並在觸發時自動撤銷會話。