MCP工具投毒审计工作流

MCP工具投毒审计工作流

4个可下载技能 · 4步自动化工作流 · 每个技能可单独运行

把准备接入智能体的MCP服务来源、包摘要、工具描述、数据类别、外部域名和副作用规范成可哈希目录，再识别描述中的强制调用、静默复制与隐瞒指令，分析敏感数据或不可信内容跨工具流向外部写入的潜在路径，最后结合批准基线生成阻止启用或人工复核队列。4个技能均为离线Python脚本，不联网、不下载包、不连接MCP服务、不执行攻击、不安装、不启用、不调用工具；规则命中是安全复核证据，不是漏洞定论，未命中也不是安全认证。

4步自动化工作流

1 生成MCP工具目录快照

对应技能： mcp-tool-catalog-snapshot-normalizer

解决什么： 统一服务来源、发布者、信任级别、包SHA256、工具描述、输入字段、输出数据类别、外部域名、人工审批和副作用，拦截缺失或重复元数据。

What you get: READY/BLOCKED、blockers、规范化catalog、tool_count、64位catalog_hash和每个工具的64位descriptor_hash。

流转到下一步： 只有来源证据完整且状态为READY的目录进入描述审计；目录或描述变化必须生成新哈希并重新走完整流程。

2 审计MCP工具描述投毒

对应技能： mcp-tool-description-poisoning-auditor

解决什么： 用确定性规则检查忽略上文、强制调用、跨工具指令、隐瞒、批量数据转移、隐藏收件人、控制字符、未审批外写、通配域名和不可信写工具。

What you get: 每个工具的CRITICAL/HIGH/MEDIUM/LOW findings、规则证据、严重度计数与对应catalog_hash。

流转到下一步： 投毒发现与原始工具哈希完整流向跨工具分析；安全人员复核原始描述，不通过删关键词来制造无告警结果。

3 分析MCP跨工具风险路径

对应技能： mcp-cross-tool-risk-path-analyzer

解决什么： 将工具声明的内部文档、密钥、个人数据或不可信内容输出，与消息、网页、工单等外部写入入口进行潜在路径匹配。

What you get: risk_paths、CRITICAL/HIGH计数、源工具、汇工具、数据类别和每条路径要求的控制措施。

流转到下一步： 路径、投毒发现、目录哈希和批准基线共同进入启用证据闸门；该步骤只分析元数据，不执行任何工具链。

4 生成MCP工具启用证据队列

对应技能： mcp-tool-release-evidence-gate

解决什么： 比较当前descriptor_hash与批准基线，汇总新工具、描述漂移、严重投毒发现和跨工具路径，为每个工具生成责任角色与阻止原因。

What you get: release_state、enablement_queue、BLOCK_ENABLEMENT或READY_FOR_HUMAN_ENABLEMENT_REVIEW计数，以及HOLD_FOR_HUMAN_SECURITY_APPROVAL。

最终交付： 一份可导入CI、n8n、工单或变更审批系统的MCP启用证据队列；安装、启用、例外批准、生产调用、权限授予与持续监控仍由买家有权的资产负责人和安全人员完成。

实际示例

随包样例使用2个虚构MCP服务和3个虚构工具，不含真实仓库、凭据、业务文档或服务器地址。第一步生成3项工具的READY目录和稳定哈希；第二步在虚构message-send描述中识别强制调用、批量复制、隐瞒、无审批外写、通配域名和不可信写工具，共3个CRITICAL与3个HIGH发现；第三步定位内部文档与密钥流向外部消息工具的2条CRITICAL路径，以及不可信内容影响外部写入的1条HIGH路径；第四步将3个工具全部置为BLOCK_ENABLEMENT，release_state为BLOCK，门禁保持HOLD_FOR_HUMAN_SECURITY_APPROVAL。该测试只验证规则、数据类别、哈希和路由，不代表真实漏洞、攻击成功或安全结论。

适合谁

• 正在为ChatGPT、Claude、Codex、Dify、Coze、n8n或自建智能体引入多个MCP服务的平台团队

• 需要在工具安装或升级前复核描述、权限、外部域名和跨工具数据流的安全人员

• 希望把MCP工具变更纳入CI、工单、资产清单或双人审批的企业

• 为客户交付MCP集成，同时需要保留来源、哈希、发现与人工决定证据的实施人员

买家只需提供

• 从批准来源取得的服务ID、发布者、来源引用、包SHA256、信任级别和工具描述

• 经过脱敏的数据类别、输入字段、允许域名、副作用、是否需要人工审批，以及上一版批准的descriptor_hash

• 资产负责人、安全复核角色、组织允许的风险阈值和最终验收规则

使用方式

1. 使用Python 3.10或更高版本，按4个README准备UTF-8 JSON；全部脚本无第三方依赖。

2. 依次运行目录快照、描述投毒审计、跨工具路径分析和启用证据闸门，也可将任一步映射到现有CI或审批流程。

3. 先用随包虚构样例验收3个工具、6个描述发现、3条风险路径和阻止启用门禁，再由有权人员接入经过脱敏的真实元数据。

交付与验收

• 交付4个独立技能目录，每个包含_meta.json、SKILL.md、agents/openai.yaml、README、Python执行器和脱敏输入输出样例。

• 4个脚本均可离线重复运行，相同输入产生稳定JSON；技能数与工作流步数精确为4。

• 验收1份64位目录哈希、3个工具描述哈希、3个CRITICAL和3个HIGH描述发现、2条CRITICAL和1条HIGH风险路径、3条BLOCK_ENABLEMENT及HOLD_FOR_HUMAN_SECURITY_APPROVAL。

• 来源、发布者、摘要、描述、副作用、数据类别、批准基线或责任角色缺失，以及上游BLOCKED、新工具、描述漂移、严重发现或高风险路径都会形成blocker或阻止原因。

• 不包含MCP账号、服务器、仓库权限、包下载、漏洞利用、渗透测试、模型或API额度、生产安装启用、持续监控、人工审计结论或法律合规意见。

服务说明

本套餐不接收密码、Cookie、Token、API Key、私钥、真实密钥内容、客户文档、个人信息或未经授权的服务器数据。买家必须从批准来源独立核对发布者、版本、包摘要、签名、依赖、工具描述、权限、域名、数据保留与适用政策，并在隔离测试环境验证行为；工具描述和运行时行为可能不同，静态规则无法覆盖混淆、供应链替换、运行时漂移、间接提示注入或全部组合风险。任何BLOCK只能说明需要停止并复核，任何READY也只能进入人工审批，不能保证无漏洞、无投毒、绝对合规或零数据泄露。