MCP 的承诺很优雅：为代理提供一种一致且可审计的工具调用方式。但一个关键细节正在显现——用户授权服务器后，风险面并未缩小，而是转移了。服务器响应或上下文中的隐藏指令可以引导模型使用它被允许调用的工具，目标却变成了泄露令牌、API 密钥或内部数据。这不是传统意义上的越狱；而是一种利用合法能力的批准后引导攻击。

这种模式看似简单。用户批准了服务器和一组工具。随后，服务器返回一个看似无害的负载，其中包含精心设计的指令。模型在其被授予的权限范围内执行：调用已批准的命令，读取文件或环境变量，并将结果传送到攻击者控制的端点。因为每一步都技术上符合权限范围，简单的策略检查通过，传统的越狱过滤器很少触发。信任的边界已从按钮点击转移到整个对话和工具调用循环。

对于试点代理工作流的企业来说，这些影响是切实的，而非理论。安全控制必须管理工具的使用方式、时间和参数，尤其是访问秘密、系统内省和外部网络调用。合规和审计团队应将 MCP 服务器视为第三方软件：要求证明、通过网络和命名空间控制隔离、轮换临时凭证，并强制实施防篡改日志。最重要的是，将批准工具的权限与允许其在特定请求中使用的条件分开。

缓解措施存在，但必须精准。强制执行参数允许列表，默认拒绝危险的通配符。对高风险操作（读取秘密、写文件、向外部 URL 发布）要求带外确认。使用服务器响应的加密签名，并将批准绑定到具有狭窄权限的短期会话。插入上下文防火墙，剥离或隔离来自不可信内容的寻求工具指令。最后，监控强制模式——突然的数据外泄、重复的模式规避，或模型重复披露令牌的指令——触发时自动撤销会话。