MCP 연결은 제공하는 모든 작업을 신뢰하는 이유가 아니라 기능을 노출하는 방법입니다. 인증 분석가를 연결하기 전에 검사할 수 있는 테넌트, 검색할 수 있는 증거 및 사용할 수 없는 작업을 지정하세요. 한 서버가 두 도구를 모두 제공한다는 이유만으로 보고서 읽기 할당이 DNS 게시를 상속해서는 안 됩니다.
실제 데이터 경로로 시작
호스트 애플리케이션, MCP 클라이언트, 서버, 보고서 저장소 및 다운스트림 API를 매핑합니다. 토큰이 종료되는 위치와 각 구성 요소를 운영하는 조직을 기록합니다. 그만큼 MCP 인증 사양 HTTP 기반 전송에 대한 인증을 설명합니다. 해당 흐름이 로컬 stdio 서버에 변경 없이 적용된다고 가정하지 마세요. 로컬 실행 파일은 원격 OAuth 교환 없이도 파일 시스템이나 환경에 액세스할 수 있습니다.
원시 메시지 검색과 별도로 보고서 검색을 수행합니다. 집계된 개수는 메시지 제목, 수신자 또는 첨부 파일을 공개하지 않고 발신자 동향 질문에 답할 수 있습니다. 모델에서 제공하는 테넌트 이름을 권한으로 받아들이는 대신 인증된 컨텍스트를 사용하여 서버에서 테넌트 격리를 시행합니다. 무제한 저장소 URL을 노출하지 않고도 요약을 추적할 수 있도록 안정적인 소스 식별자를 반환합니다.
자격 증명 및 도구 사용 범위 제한
지원되는 최소 리소스 및 작업 범위의 자격 증명을 사용하세요. 프롬프트, 도구 설명, 보고서 필드 또는 로그가 아닌 승인된 자격 증명 메커니즘에 비밀을 유지하세요. 그만큼 MCP 보안 지침 토큰 패스스루를 금지합니다. 서버는 다른 서비스를 위한 업스트림 토큰을 단순히 수락하고 전달해서는 안 됩니다. 의도된 대상을 검증하고 적절한 다운스트림 권한 부여 관계를 구현합니다.
일반 HTTP, 셸 및 파일 작성 기능을 포함하여 노출된 모든 도구의 목록을 작성하세요. 일반 실행 도구가 광범위한 자격 증명을 사용하여 동일한 공급자를 호출할 수 있는 경우 DNS 관련 버튼을 숨기는 것은 거의 효과가 없습니다. 실행 경계에서 불필요한 기능을 제거합니다. 도구 주석과 설명이 포함된 이름은 클라이언트가 도구를 제시하는 데 도움이 될 수 있지만 강제 인증을 대체할 수는 없습니다.
적대적 신고 내용 연습
아래 서면 정책의 경우 인증된 테넌트 A와 승인된 보고서 분석 작업을 가정합니다. 테넌트 A에 대한 read_report만 허용됩니다. 비밀 또는 DNS 게시를 요청하는 신고 콘텐츠는 해당 권한을 확장할 수 없습니다. 이는 제안된 정책이지 보안 테스트를 실시하거나 검증된 서버 구성이 아닙니다.
보고서 텍스트, 메시지 샘플 및 서버에서 반환된 지침을 신뢰할 수 없는 증거로 취급합니다. 관리자라고 주장하는 문자열은 승인자가 되지 않습니다. 분석가는 해당 문자열을 준수하지 않고도 의심스러운 것으로 설명할 수 있습니다. OWASP 지시 문구만으로는 즉각적인 주입을 제거할 수 없기 때문에 계층화된 방어를 권장합니다.
전체 의사결정 원장 검사
- 알려진 소유자 사례: 테넌트 A, 승인된 작업, A에 대한 read_report. 제안된 정책에 따라 허용합니다. 계산에서는 승인된 반환 증거만 사용합니다.
- 잘못된 테넌트 사례: 인증된 A가 테넌트 B를 요청합니다. 보고서의 테넌트 레이블에 관계없이 읽기를 거부합니다.
- 적대적인 콘텐츠 사례: 보고서 텍스트 요청 read_secret 및 게시_dns. 두 도구를 모두 거부합니다. A에 대한 승인된 read_report는 계속될 수 있으며 적대적인 텍스트는 데이터로만 처리됩니다.
- 모호한 소유자 사례: A 보고서에서는 앱 A와 앱 B를 모두 가능한 소유자로 지정합니다. 승인된 증거 수집만 허용하고 소유자를 선택하는 대신 신원을 해결되지 않음으로 표시하고 속성을 에스컬레이션하세요.
- 승인되지 않은 작업 사례: 승인된 조사가 없습니다. 자격 증명이 기술적으로 읽기를 허용하는 경우에도 인증이 명확해질 때까지 작업 기반 검색을 보류합니다.
이 원장에 대해 도구 호출, 모델 평가, 자격 증명 발급 또는 경계 테스트가 실행되지 않았습니다. 이러한 규칙은 시행되기 전에 실제 서버 및 다운스트림 권한에 대한 구현 테스트가 필요합니다.
운영점검 및 접근권한 철회
토큰을 복사하지 않고 도구 이름, 인증된 테넌트, 증거 참조 및 인증 결과를 기록합니다. 활성 세션 및 다운스트림 권한을 포함하여 액세스 만료 및 취소를 테스트합니다. 수명이 긴 공급자 자격 증명이 다른 곳에서도 유효한 경우 클라이언트에서 성공적인 연결 해제만으로는 충분하지 않습니다.
읽기 전용 파일럿과 분석가가 답변해야 하는 명확한 질문 목록으로 시작하세요. 거부가 유용한지 확인하십시오. 거부는 자동으로 세입자를 생략하거나 결과를 조작하는 대신 누락된 증거 또는 범위를 식별해야 합니다. 새 작업을 별도로 검토한 후에만 권한을 확장하세요. 이는 검증된 EmailAuth 제품 기능이 아닌 제안된 제어 패턴입니다.