許多企業在導入 Anthropic 的 Model Context Protocol (MCP) 後，享受著 AI 代理人 (AI Agent) 自動化跨工具、跨數據檢索的便利。然而，當企業將 AI 代理人接入內部系統時，往往也為資安埋下了隱形地雷。多數的 MCP 安全破口並非源於協議本身的代碼缺陷，而是來自於「過度授權的憑證」以及疏於管理的權限配置。
我們的既有文章 WebMCP實戰教學 讓AI代理讀懂你的網站 曾深入探討如何讓 AI 代理人順暢檢索資料，但當你敞開數據大門的同時，安全維護與權限防禦便成為不可忽視的另一面。
MCP 的核心安全盲點：問題不在協定而在權限
Model Context Protocol (MCP) 自 2024 年底推出以來，迅速獲得微軟、Google、OpenAI 等大廠擁抱，並已交由 Linux Foundation 管理，成為 AI 代理人與工具、數據互動的關鍵基礎設施。然而，許多企業在部署 MCP 伺服器時，往往直接套用預設設定，這正是漏洞的起點。
根據知名資安媒體發布的 Why MCP security is about permissions overhaul 報導，SANS 2026 identity threats survey 調查了超過 500 位安全專家，發現 76% 的企業注意到非人類身分（non-human identities）正大幅增加，且有 74% 的企業所使用的 AI 系統，高度依賴「常設憑證（standing credentials）」來獨立運作。令人擔憂的是，諸如審批流程、沙盒（sandboxing）或日誌（logging）等基本防護措施，在這些受訪企業中的採用率皆不超過 40%。
當企業在建立連線的第一天核發憑證後，就再也沒有人回頭檢查，這個「只給予、不審查」的習慣，正是當前攻擊者最常利用的破口。
真實案例警訊：工具中毒與混淆代理人威脅
權限管理不當並非憑空想像的威脅，在實際運作中已有多起已知案例：
- 2025 年 5 月 GitHub MCP 攻擊事件：攻擊者利用 Prompt Injection 攻擊 GitHub MCP 伺服器，成功提取了私有儲存庫的數據。此事件的核心原因並非伺服器本身有傳統 bug，而是因為背後綁定的個人存取憑證（personal access token）權限範圍過大，遠超該任務所需的範疇。
- Asana MCP 整合邏輯漏洞：幾乎在同一時期，Asana MCP 整合被發現存在邏輯缺陷，由於權限層沒有落實客戶之間的隔離邊界，導致了跨租戶（cross-tenant）的非授權存取。
資安研究人員將此類 MCP 威脅歸納為兩大模式：一是工具中毒（tool poisoning），即伺服器本身的工具描述中夾帶了惡意指令；二是混淆代理人問題（confused deputy problem），此時 AI 代理人繼承了比執行當前任務所需還要更高的信任與權限，進而被利用來執行越權操作。
企業重構 MCP 權限的四大核心檢核維度
若要防範 AI 代理人成為資安破口，企業不能僅依賴自動化掃描工具，而必須針對 MCP 憑證進行「權限隔離」與「最小權限原則」的重構。以下是決策者與 IT 團隊在部署時必須落實的檢核維度：
1. 憑證範圍是否限縮於單一任務？
避免為 AI 代理人配置萬用憑證。每一個 MCP 實例所使用的秘密憑證與 Token，都必須嚴格限制在該特定任務所需的最低範圍內。
2. 是否落實「單次操作授權」？
系統不應在用戶完成身分驗證後，就預設允許後續的所有操作。每一次 AI 代理人要執行敏感動作時（例如寫入資料庫或外發數據），都必須進行逐次操作（action-by-action）的授權確認。
3. 是否以動態憑證取代常設憑證？
企業應盡可能淘汰固定且永久有效的 Token，轉而採用隨選即建（on-the-fly）、具備時效限制的動態與臨時憑證，縮短憑證被竊取後的有效時間。
4. 權限是否依站點或工作區隔離？
確保 AI 代理人的存取權限是針對單一站點或特定工作區（workspace），而非全域性的「全有或全無」授權。當代理人的功能或生命週期改變時，必須重新評估並動態調整該權限。
AI 代理人的身分難題：穿著人類外套的 Token
在技術底層上，目前業界還面臨一個更深層的結構性問題：我們尚未能給予 AI 代理人一個真正獨立的「身分（Identity）」。
目前大多數 AI 代理人在系統中，本質上只是「穿著人類 OAuth Token 外套的虛擬個體」。AI 代理人直接繼承了創建者的權限範圍、影響半徑甚至是憑證。當 AI 代理人只是執行幾分鐘的臨時任務時，這或許還能運作；但隨著技術發展，越來越多 AI 代理人需要持續運作數週甚至數月。讓一個長期運作的 Agent 借用短期人類憑證，在安全架構上是非常危險的。
傳統的 OAuth 協議在設計之初，完全假設「有真實人類在螢幕前進行授權抉擇」，這與無需人類干預的 AI 代理人運作模式存在結構性衝突。雖然目前 IETF 已有若干草案嘗試為 AI 代理人綁定生命週期與獨立身分，但這些方案仍處於早期草案階段，尚未成為廣泛部署的標準。因此，在標準成熟之前，企業必須將「運作時間長短」作為權限評估的首要因子，運作時間越長、權限應縮得越緊。
下一步行動：評估您的 AI 整合風險
導入 AI 代理人能為企業帶來巨大的營運效能提升，但前提是必須建立在安全的防線之上。如果您的企業正在規劃或已經使用 MCP 整合內部數據，建議 IT 團隊立即針對現有的 AI 憑證進行盤點，確保沒有任何一個 AI 代理人正持有超出其職責範圍的萬用權限。
