Nik Kale：生产环境 MCP 安全需构建四层纵深防御而非仅靠网关

InfoQ 作者 Nik Kale 提出生产级 MCP（Model Context Protocol）部署必须采用四层控制平面架构，以应对 2026 年初爆发的三十余起 CVE 漏洞及 SSRF、命令注入等风险。文章指出，仅依赖网关无法覆盖执行隔离、管理平面保护、出站信任边界及语义完整性，必须分散强制执行点。

第一层是安全的工具执行，核心在于防止参数被当作指令处理。针对大量通过 exec() 或 eval() 注入的漏洞，建议引入 CI 门控（如 Semgrep 规则）强制使用数组参数传递，禁止 shell 插值。第二层涉及管理基础设施，要求对检查器、harness 和注册界面实施严格的认证与网络隔离，默认不对外暴露内部端点。第三层关注出站信任，利用 Kubernetes NetworkPolicy 限制服务器只能访问白名单内的服务，并配合最小化令牌作用域，防止托管身份泄露。第四层解决语义漂移问题，通过在注册时对 Manifest 进行哈希固定与差异评审，阻止“rug-pull”攻击，确保工具定义在运行期未被篡改。

该方案强调规范滞后于现实，团队需在现有协议基础上自行实现这些控制。虽然容器化沙箱会增加 50-200 毫秒延迟，且出站允许列表需要人工维护，但相比凭据泄露风险，这些成本是可接受的。文章最后给出了为期四周的推广计划，建议按顺序先稳定边界，再优化执行路径，最后建立行为基线监控。