T∕TAF 352-2026 模型上下文协议服务器（MCP Server）安全技术要求

CCSL70电信终端产业协会发布T/TAF352—2026I前言 2规范性引用文件 3术语和定义 14缩略语 25MCPServer安全要求 25.1身份鉴别与访问控制 25.2通信与接口安全 25.3工具与资源安全 5.4执行环境安全 45.5供应链与更新安全 5.6数据安全与隐私保护 5.7日志审计与安全监控 66MCPServer安全能力分级 66.1概述 66.2安全能力分级 6T/TAF352—2026本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由电信终端产业协会（TAF）提出并归口。本文件起草单位：中国信息通信研究院、北京奇虎科技有限公司、北京快手科技有限公司、北京火山引擎科技有限公司、荣耀终端股份有限公司、维沃移动通信有限公司、华为终端有限公司、联想（北京）有限公司、阿里巴巴（中国）有限公司、小米通讯技术有限公司、博鼎实华（北京）技术有限公司、高通无线通信技术（中国）有限公司、百度在线网络技术（北京）有限公司、每日互动股份有限公司、北京微梦创科网络技术有限公司、北京数智鑫源科技有限公司、北京三星通信技术研究有限公司、南德认证检测（中国）有限公司深圳分公司。本文件主要起草人：武林娜、张睿、裴元奇、刘胤含、秦文聪、宋恺、王艳红、邓佑军、王淞鹤、杜云、落红卫、谷晨、郭建领、杜蕾、王江胜、桑明臣、李可心、陈鑫爱、周飞、李京典、顾世鸿、汪海、吴怡、董霁、李辰淑、赵晓娜、赵盈洁、刘源、王键、阮玲宏、李欣、高博雅、黄天宁、李建慧、孔令昊、李浩川、李颖莹、任资政、康宇、柯国峰、王彬、周世乐。T/TAF352—20261模型上下文协议服务器（MCPServer）安全技术要求本文件规定了模型上下文协议服务器（MCPServer）的安全技术要求，主要包括访问控制、通信与接口、工具与资源、执行环境、供应链与更新、数据安全与隐私保护、日志审计与安全监控等方面的安全技术要求，并对安全能力进行了分级。本文件适用于MCPServer开发者、市场运营者对MCPServer进行设计、开发和评估，主管部门和第三方检测评估机构等组织对MCPServer进行监督、管理和评估。MCPServer市场在评估MCPServer时可参照执行。2规范性引用文件本文件没有规范性引用文件。3术语和定义下列术语和定义适用于本文件。3.1模型上下文协议modelcontextprotocol用于规范AI模型访问和操作外部资源、工具和服务的标准化开放协议。3.2模型上下文协议服务器modelcontextprotocolserver基于模型上下文协议提供上下文和功能的服务，简称MCPServer。3.3模型上下文协议客户端modelcontextprotocolclient与MCPServer进行交互的连接器，负责向MCPServer发送工具调用请求、接收执行结果，并为最终用户或上层应用提供MCP服务的访问接口，简称MCP客户端。3.4应用编程接口applicationprogramminginterface一类预先定义的函数，提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力。3.5MCPServer工具modelcontextprotocolservertool允许模型执行操作或检索信息的可执行函数，简称工具。3.6恶意代码执行maliciouscodeexecution通过MCPServer执行非预期的恶意代码，导致系统入侵、数据泄露或服务中断的恶意行为。3.7沙箱sandboxT/TAF352—20262沙箱是一个包含一些虚拟的硬件和软件资源的虚拟环境，使应用程序或进程可以在该环境中运行。在沙箱中运行的程序只能访问沙箱给它加载的资源，而不会影响到外部的应用、系统或平台。3.8应用程序编程接口密钥ApplicationProgrammingInterfaceKeyAI模型提供商提供给用户的凭证，用户可以持此凭证通过API使用AI模型，简称APIKey。4缩略语下列缩略语适用于本文件。AI：人工智能（ArtificialIntelligence）MCP：模型上下文协议（ModelContextProtocol）MCPServer：模型上下文协议服务器（ModelContextProtocolServer）MCPClient：模型上下文协议客户端（ModelContextProtocolClient）API:应用程序编程接口（ApplicationProgrammingInterface）TLS:传输层加密（TransportLayerSecurity）HTTPS：超文本传输安全协议（HyperTextTransferProtocolSecure）5MCPServer安全要求5.1身份鉴别与访问控制应确保只有经过验证和授权的MCP客户端和用户能够访问MCPServer提供的功能与数据，防止身份假冒和权限滥用，具体要求如下。a）MCPServer应实现安全的身份认证机制，对接入的MCP客户端进行合法性验证（例如要求提供有效令牌）。远程模式下必须进行客户端鉴别，如使用API密钥或对称共享密钥。b）MCPServer应采用标准的基于OAuth2.0及更高版本的授权框架管理客户端权限，提供令牌颁发、刷新和吊销机制。对于涉及多用户或跨组织场景的接口调用，应使用OAuth令牌代表资源所有者进行访问控制。c）当MCP客户端与服务器处于不同安全域时，应实施双向身份认证，即服务器应向客户端出示服务器证书验证自身身份，对客户端出示的凭证（如客户端证书或设备指纹）进行校验，防止身份伪造和令牌滥用。d）MCPServer应具备基本的账户/应用鉴权体系，针对不同工具和数据资源分配访问权限，满足1)对不同调用方进行身份分离和权限限制（如区分只读/读写权限）；2)基于零信任机制实现角色/用户分级授权，支持细粒度权限控制和最小权限原则；3)宜结合环境和行为进行动态权限调整，如检测到异常行为自动降低权限。e）对于涉及关键资源或敏感操作的工具调用（如删除数据库、批量导出数据等），MCPServer在L3等级下应要求执行主体进行二次确认或加强型认证。可通过MCP主机UI提示用户确认操作或要求再次验证身份（例如输入管理员口令或OTP验证码）后才执行，防范权限滥用和关键操作误用。5.2通信与接口安全T/TAF352—20263应保障MCP客户端与服务器之间以及服务器对外接口的通信机密性、完整性，防止传输过程中的窃听、篡改和重放攻击，具体要求如下：a）远程模式下，MCPServer与客户端之间的通信应使用强加密协议传输，满足以下至少一种传输方式：1)使用TLS1.2及以上版本的HTTPS通道；2)应使用TLS1.3，配置安全套件和完善证书校验，拒绝不安全的加密算法和过期证书。b）本地模式通信应确保管道通道不被非授权进程读取；c）MCPServer应对接收到的重要请求消息执行完整性验证，采用以下至少一种方式进行验证：1)对关键参数计算哈希或HMAC签名并验证，确保请求未被篡改；2)采用消息摘要（SHA-256及以上）或数字签名机制验证请求和响应完整性，防止中间人篡改内容。d）当MCP客户端与服务器处于不同安全域时，服务器应与客户端实施双向TLS认证，即双方在TLS握手中交换并验证数字证书。通过双向认证确保通信双方均为可信实体，从而抵御伪造服务器或客户端的中间人攻击；e）MCP通信协议层应具备抗重放攻击设计，实现请求唯一性标识和过期机制，例如使用逐步递增的消息ID、时间戳和随机数（nonce）组合，拒绝处理重复或过期的请求消息，建议同时采用nonce缓存、防重放令牌等手段，加强对重放攻击的抵御；f）MCPServer所有对外API接口应具有以下的合法性校验和拦截机制，防止SQL注入、命令注入等常见攻击：1)对输入参数长度、格式进行检查；2)设置白名单或正则策略限制参数内容；3)采用WAF或网关层的流量过滤规则，自动拦截异常或恶意请求。对调用频率、并发量设置阈值，防范拒绝服务（DoS）攻击和资源滥用。5.3工具与资源安全应确保MCPServer提供的工具和资源在全生命周期内保持可信，防范工具描述投毒、功能滥用和未授权的数据访问，具体要求如下：a）MCPServer应保护已发布工具描述的完整性，防止未授权篡改，未签名或签名不符的工具不应提供给模型调用，应满足以下至少一种方式：1)在工具注册和分发过程中对描述内容计算哈希或数字签名，运行时校验描述哈希一致性；2)所有MCP工具描述文件和代码包由开发者数字签名，Server在加载时验证签名有效且颁发者可信。b）针对工具描述投毒风险，MCPServer配备隐藏指令检测机制。例如部署正则表达式扫描，以<hidden_instruction>等)；或利用大模型语义分析，对工具描述进行意图识别，标记出含可疑敏感操作（如文件读取、网络外发）的描述并触发人工复核；c）MCP工具应明确声明其操作所需的权限范围（例如“仅允许读写临时目录”）。MCPServer在执行工具时须严格按照声明的权限范围进行隔离控制，应满足以下至少一种策略：1)对工具的文件系统和网络访问进行基本限制（如禁止访问操作系统关键目录/etc,~/.ssh2)实现细粒度的沙箱策略，根据工具声明仅授予最小权限，例如使用容器、安全策略等阻止超出权限的系统调用；3)结合主机操作系统的权限控制系统（如WindowsMCP权限控制或Linuxcgroup命名空间）T/TAF352—20264对每个工具执行实例实施隔离，确保即使模型被引导执行恶意工具，也只能在受限环境中运行，危害不可跨越沙箱边界。d）MCPServer应对工具调用的输出结果进行适当过滤或审查，以防止工具将敏感信息直接返回给AI模型或终端用户，应满足以下至少一种审查策略：1)对工具输出中的机密数据（如凭证、个人敏感信息）进行屏蔽或脱敏处理（如掩码处理）；2)针对模型可能难以处理的恶意内容进行检测和移除，避免AI模型受到工具输出中的恶意指令干扰；3)实现输出内容与策略规则匹配，对违反安全策略的输出进行阻断，并记录审计日志。e）对于MCPServer提供的数据资源，应配置细粒度的数据访问控制策略，应满足以下至少一种1)根据调用方身份实施基本的读/写权限划分和配额限制，防止过量或未经授权的数据提取；2)对每个数据资源设定访问白名单或基于零信任设置访问控制策略，仅允许满足策略条件的请求查询；3)在多租户情况下要求做到用户数据严格隔离，不同用户的MCP请求相互隔绝。5.4执行环境安全应保护MCPServer所运行的软硬件环境及主机系统免受恶意代码侵害，确保MCP服务运行环境本身的安全可靠，具体要求如下：a）MCPServer应避免与不相干的服务混合运行，必要时使用容器化或虚拟化技术实现进程隔离，应满足以下至少一种方式：1)将MCPServer进程运行在低权限账户下，限制其系统管理权限；2)采用容器（如Docker）将MCPServer与主机其它应用隔离，并为容器设定资源配额，防范逃逸和资源耗尽攻击；3)使用轻量虚拟化沙箱（如gVisor、KataContainers）或硬件虚拟化技术，为MCPServer提供接近物理隔离级别的独立运行环境，最大程度降低被攻破时对外部的影响。b）在MCPServer运行过程中应部署主动防御和监测机制，应满足以下至少一种方式：1)对系统关键目录、进程进行基线完整性监控，一旦检测到MCPServer目录下出现异常文件改动或未授权进程启动，产生告警；2)集成主机入侵检测系统（HIDS）或行为监控代理，实时分析MCP进程及其子进程行为，例如监测异常的文件读写、高频网络连接等，可疑行为应触发报警；3)实现自动响应的运行时防护，当检测到明显恶意行为时可立即执行拦截措施，如终止相关进程或断开网络连接，并将事件升级上报。c）对MCPServer的配置和工具代码进行严格变更管理，应满足以下至少一种方式：1)所有配置修改和工具部署/更新必须由授权管理员执行，并做好日志记录；2)建立变更审批制度，任何MCPServer安全相关配置（如访问控制策略、敏感参数）修改须经双人或多级审核后方可生效；3)实现自动化的配置监控，一旦检测到未经过审批的配置改动，立即恢复到可信配置并报警。d）MCPServer所依赖的操作系统和运行时环境（如Python/Node.js解释器）应纳入持续漏洞管理流程，应满足以下至少一种策略：1)要求定期关注官方漏洞公告并及时更新修补高危漏洞；2)对服务所使用的组件清单进行安全加固扫描，使用漏洞扫描工具检测已知漏洞并评估其影响，针对未及时修补的漏洞制定风险缓解措施（如临时关闭相关功能）；T/TAF352—202653)建立自动化的漏洞扫描与漏洞情报订阅机制，第一时间获知新出现的相关漏洞，并在安全维护窗口内完成修补或采取缓解手段。5.5供应链与更新安全应保障MCPServer及其工具链从开发、分发到部署更新的整个生命周期的完整性，防范供应链投毒和恶意更新行为，具体要求如下：a）在MCPServer的软件开发过程中应引入安全审查手段，满足以下至少一种方式：1)对自研代码进行静态代码分析和基本的单元测试覆盖安全场景，尽量减少常见安全漏洞；2)对引入的第三方库和开源组件进行SCA（软件成分分析）扫描，识别已知漏洞、后门和弱配置组件并及时更新替换；3)对关键组件进行代码审计和模糊测试，在正式发布前由独立安全测试团队对整体软件进行渗透测试，确保不存在高危漏洞。b）MCPServer发行的软件包和后续补丁更新均应采用数字签名或哈希校验方式来确保其来源可信和内容完整，应满足以下至少一种方式：1)在提供安装包时同时提供文件校验和签名，可便于使用方在部署前验证哈希或签名匹配；2)使用正式的代码签名证书为MCPServer软件签名，便于市场或主机厂商验证签名有效性；3)实施软件供应链安全平台，对接收的所有MCPServer及工具包软件进行签名验证和存档备案，严禁运行任何未经过验证签名的软件，防范供应链替换攻击。c）MCPServer和工具的更新机制应考虑安全因素，应满足以下至少一种方式：1)更新服务器通信链路采用加密链路，如使用HTTPS，并对更新包进行校验后再执行升级；2)避免静默自动更新，优先采用用户确认后更新的策略，或者提供策略选项由管理员统一控制更新节奏。更新日志应清晰列出版本变更特别是权限变更点，供用户审查。d）应部署智能监控检测工具更新后的异常行为。5.6数据安全与隐私保护应保护通过MCPServer传输、存储和处理的敏感数据不被未授权访问或泄露，并确保在AI与数据交互中遵循必要的隐私保护原则，具体要求如下：a）MCPServer如涉及存储业务数据（如缓存查询结果、日志、配置等应确保静态存储的数据安全，应满足以下至少一种方式：1)在服务器硬盘或数据库层面对敏感数据采用加密存储或访问控制，例如使用操作系统权限保证只有MCP服务账户可读写数据库文件；2)使用强加密算法（如AES-256）对关键数据字段存储加密，并妥善管理密钥（建议使用硬件安全模块HSM或操作系统密钥管理服务）；3)敏感数据存储隔离在高安全等级的模块或独立安全域，且对数据备份介质同样采取加密和严格的访问控制。b）MCPServer在对外提供数据时应遵循最小化和必要原则，应满足至少一种方式：1)默认不对外提供超出请求范围的数据，对于查询指令应限定返回结果集大小，避免一次性输出过量敏感信息；2)引入敏感数据调用配额或频次限制机制，例如对同一IP或同一会话在短时间内多次请求敏感资源进行速率限制，防止批量爆破式数据获取；3)结合用户身份与行为上下文，对数据调用执行动态风险评估，在检测到异常访问模式时实施额外验证或限制（如要求更高级别授权才能继续查询）。c）对于处理个人敏感信息或隐私数据的MCPServer，应采用技术手段降低隐私泄露风险。在数T/TAF352—20266据分析类工具中应用脱敏技术，仅返回统计汇总或模糊化结果而非原始明细，对于模型可能返回的个人信息内容，应设置自动检测和模糊策略（例如识别到身份证号、电话等格式时做遮盖处理避免无意中暴露隐私，宜引入差分隐私等机制，在对用户相关的数据查询中注入适度噪声，以确保攻击者无法通过多次查询推断单个用户的真实信息；d）对涉及敏感数据访问的行为，MCPServer应完整记录日志，包括操作人、时间、访问方式、访问内容等，确保访问日志受到保护，防止未授权篡改（如对日志文件签名或写入防篡改存储介质）。5.7日志审计与安全监控应通过完善的安全日志记录、定期审计和实时监控告警机制，及时发现MCPServer的异常行为和安全事件，并为事后调查提供证据，具体要求如下：a）MCPServer应对安全相关事件进行全面的日志记录，应满足以下至少一种方式：1)记录用户登录/认证、重要配置变更、工具调用、数据访问等关键