我们构建了MCP亟需的安全层
今天，我们宣布推出mcp-context-protector测试版，这是为使用模型上下文协议(MCP)的LLM应用程序设计的安全封装器。它通过以下特性防御本系列博客先前记录的"越线攻击"（如通过工具描述和ANSI终端转义码进行的提示注入）：
- 首次使用时信任固定的服务器指令和工具描述
- 集成LLM护栏扫描工具描述和服务器指令中的提示注入载荷
- 可选的ANSI控制字符净化功能
保护LLM的上下文窗口
在越线攻击中，恶意MCP服务器会在工具描述、服务器指令等字段中植入提示注入载荷。这种技术能在任何恶意工具被调用前就操控模型行为，绕过MCP内置的人工审核机制。防御这类攻击的关键在于：安全控制应部署在风险实际发生的信任边界上。
兼容可靠的封装器设计
mcp-context-protector采用封装器架构（如图1），直接安装在LLM应用中，作为应用与下游服务器间的代理。这种设计能对所有进入上下文窗口的消息进行安全检查，相比外部代码扫描器等方案更具可靠性。
安全特性详解
首次使用信任机制
当检测到服务器配置变更（如新增工具或修改描述）时，系统会阻止所有未经人工预审的功能。服务器指令变更将导致整个服务器被封锁。
LLM护栏扫描
集成Meta的LlamaFirewall等防护系统，自动扫描所有工具响应。当检测到潜在攻击时，响应会被隔离，用户可通过CLI进行复核（如图2-3）。
ANSI控制字符净化
将转义字符(0x1b)替换为"ESC"字符串，既消除威胁又保持内容可见性（如图4）。在CLI配置审查时会自动启用此功能。
局限性说明
- 思维链审计受限：作为MCP服务器，无法获取完整对话历史进行全局安全评估
- 人工审查负担：频繁的配置更新可能导致告警疲劳，建议企业采用集中审查机制
部署建议
mcp-context-protector符合MCP标准，可搭配任何宿主应用和下游服务器使用。开发者可根据需要扩展数据防泄漏检查等定制功能。项目代码已开源，欢迎通过GitHub提交反馈或贡献。
“安全控制应部署在风险实际发生的信任边界上”——这正是mcp-context-protector的设计哲学