结论先说：MCP（Model Context Protocol）让 AI Agent 能方便地连接各种工具，也把“提示词注入”的后果从“说错话”放大成“做错事”。权限最小化的核心有四条：①每个 MCP 服务器只拿完成任务所需的最小 scope；②禁止 Token 透传，服务器只接受签发给自己的令牌；③工具按读/写/外发/资金分级，高级别操作必须人工确认；④工具描述和返回值一律视为不可信输入。前两条直接来自 MCP 官方规范，后两条是熊猫出海的落地框架。 安全说明：本文只讲防护与评估，不提供任何越狱提示词、可复制攻击载荷或提示词包链接；仅测试你拥有或获得授权的系统。 一、MCP 官方安全要求（必须知道的） 1.1 禁止 Token 透传MCP 官方 Security Best Practices 将“Token passthrough”列为反模式：MCP 服务器不应接受未签发给自己的令牌并转发给下游 API。授权安全注意事项 要求服务器在处理请求前验证令牌确实是为该服务器签发的。 1.2 混淆代理（Confused Deputy）官方文档说明：使用静态 client ID 连接第三方 API 的 MCP 代理服务器，必须对每个动态注册的客户端做用户同意（per-client consent），校验 redirect URI，并防 CSRF，否则攻击者可能借用户已有的同意 cookie 拿到授权码。 1.3 Scope 最小化官方最佳实践建议按需逐步申请权限，而不是一次性申请全部 scope；具体条款以官方当前版本为准。 二、MCP 场景下的四类风险 风险说明首选控制间接提示词注入工具返回的网页/邮件/文档中藏有指令返回值当数据处理；高风险动作前人工确认工具描述投毒第三方 MCP 服务器的工具描述中夹带诱导性文字只接入审核过的服务器，固定版本，变更告警Token 透传与混淆代理令牌被错误转发或授权码被劫持遵守官方 MUST 要求：令牌受众校验、逐客户端同意权限过大一个服务器同时拥有读写、外发与支付能力按下表分级拆分服务器与令牌 前三行风险描述参考 MCP 官方文档与 OWASP LLM Top 10 中文清单（LLM01、LLM06）；“工具描述投毒”为业界公开讨论的风险类别，本文未引用具体事件。 三、工具权限分级矩阵（熊猫出海方法框架） 级别能力示例控制要求T0 只读·公开读公开信息查汇率、查公开商品页可自动执行T1 只读·私有读当前用户自己的数据查我的订单令牌绑定当前用户，按租户隔离T2 写入·内部修改内部状态改工单状态、加备注记录日志，可撤销T3 外发对外发送内容发邮件、发消息、发帖展示内容并由用户确认T4 资金与删除不可逆或涉及资金退款、付款、删数据人工确认 + 后端二次鉴权 + 金额/频率上限 四、落地步骤 4.1 盘点列出每个 MCP 服务器、它暴露的工具、使用的令牌与 scope，并标注 T0–T4 级别。 4.2 拆分不同级别的工具尽量放在不同服务器或使用不同令牌；T3/T4 不与“读取外部内容”的工具共用一个无人值守流程。 4.3 确认与上限T3/T4 前展示将要执行的参数让用户确认；设定单次与每日上限。...