2026 模型上下文协议服务器（MCP Server）安全技术要求

SecuritytechnicalrequiremI II 1 1 1 2 2 2 2 3 4 5 5 6 6 6 6本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。1模型上下文协议服务器（MCPServer）安全技术要求模型上下文协议modelcontextpro用于规范AI模型访问和操作外部资源、工具和服务的标准模型上下文协议服务器modelcontextprotocols基于模型上下文协议提供上下文和功能的服务，模型上下文协议客户端modelcontextprotocolc与MCPServer进行交互的连接器，负责向MCPSe用户或上层应用提供MCP服务的访问接口，简称M恶意代码执行maliciousco2在沙箱中运行的程序只能访问沙箱给它加载的资源，而不会影响到外部的应用、系统或平台。AI模型提供商提供给用户的凭证，用户可以持此凭证通过API使用AI模型，简称APIKey。4缩略语AI：人工智能（ArtificialIntelligence）MCP：模型上下文协议（ModelContextProtocol）MCPServer：模型上下文协议服务器（ModelContextProtocolServer）MCPClient：模型上下文协议客户端（ModelContextProtocolClient）API:应用程序编程接口（ApplicationProgrammingInterface）TLS:传输层加密（TransportLayerSecurHTTPS：超文本传输安全协议（HyperTextTransferProtocolSecu5.1身份鉴别与访问控制应确保只有经过验证和授权的MCP客户端和用户能够访问MCPServer提供的功能与数据，防止身份a）MCPServer应实现安全的身份认证机供有效令牌）。远程模式下必须进行客户端鉴别，如使用APIb）MCPServer应采用标准的基于OAuth2.0d）MCPServer应具备基本的账户/应用鉴权1)对不同调用方进行身份分离和权限限制（如区分只读/读写权限2)基于零信任机制实现角色/用户分级授权，支持细粒度权限控制和最小权限原则；e）对于涉及关键资源或敏感操作的工具调用（如删除数据库、批量导出数据等），MCPServer5.2通信与接口安全3应保障MCP客户端与服务器之间以及服务器对外接口的通信机密性、完整性，防止传输过程中的窃a）远程模式下，MCPServer与客户端之间的通信应使用强加密协议传输，满足以下至少一种传b）本地模式通信应确保管道通道不被非授权进程读取；2)采用消息摘要（SHA-256及以上）或数字签名机制3)采用WAF或网关层的流量过滤规则，自动拦截异常或恶意请求。对调用频率、5.3工具与资源安全应确保MCPServer提供的工具和资源在全生命周期内保持可信，防范a）MCPServer应保护已发布工具描述的完整性，防止未授权篡改，未签名或签名不符的工具不b）针对工具描述投毒风险，MCPServer配备隐藏指令检测机制。例如部署正则表达式扫描，以及嵌入模型文本相似度匹配，自动识别并清理描述文本中异常的标签字段（如<hidden_instruction>等)；或利用大模型语义分析，对工具描述进行意图识别，标记出含可疑敏感操作（如文件读取、网络外发）的描述并触发人工复c）MCP工具应明确声明其操作所需的权限范围（例如“仅允许读写临时目录”）。MCPServer在执行工具时须严格按照声明的权限范围进行隔离控制，应满足以下至少一种策略：1)对工具的文件系统和网络访问进行基本限制（如禁止访问操作系统关键目录/etc,~/.ssh4d）MCPServer应对工具调用的输出结果进行适当过滤或审查，以防止工具将敏感信息直接返回3)实现输出内容与策略规则匹配，对违反安全策e）对于MCPServer提供的数据资源，应配置细粒应保护MCPServer所运行的软硬件环境及主机系d）MCPServer所依赖的操作系统和运行时环境（如Python/Node.js解释器）应纳入持续漏洞管）；55.5供应链与更新安全应保障MCPServer及其工具链从开发、分发到部署更新的整个生命周期的b）MCPServer发行的软件包和后续补丁更新均应采用数字签名或哈希校验方式来确保其来源可备案，严禁运行任何未经过验证签名的软件，防范供应链制更新节奏。更新日志应清晰列出版本变更特别是权限变更点，供用5.6数据安全与隐私保护a）MCPServer如涉及存储业务数据（如缓存查询结果、日志、配置等），应确施额外验证或限制（如要求更高级别授权才能继续查c）对于处理个人敏感信息或隐私数据的MCPServer，应采用技术手段降低隐私泄露风险。在数6d）对涉及敏感数据访问的行为，MCPServer应完整记录日志，包括操作人、时间、访问方1)记录用户登录/认证、重要配置变更、工具调用、数据访问等关键操作日志，包含操作主d）建立定期安全审计机制，检查是否有异常模式或违规现象），等级定义了MCPServer在相应等级对应的安全能力的最小集合，也即MCPServer必须支持该集合中的√√√—√√—√√√√√—√√7——√——√√√√—√√b)本地模式通信安全√√√√√√—√√——√—√√√√√—√√——√√√√—√√—√√√√√—√√——√√√√—√√——√√√√—√√——√√√√—