MCP Proxy Firewall：为AI代理拦截被投毒的邻居

MCP生态正在重演供应链安全的老剧本

Model Context Protocol（MCP）已经成为AI代理连接工具与数据源的事实标准。但协议越普及，攻击面就越大。当你让代理接入一个第三方MCP服务器时，本质上是在向对方开放代理的全部能力——包括读取凭证、调用工具、访问内网。

安全团队RelayShield推出了MCP Proxy Firewall，试图在代理与MCP服务器之间插入一道可审计的拦截层。它的核心论点很直接：MCP的安全模型假设服务器可信，而这个假设已经开始崩塌。

MCP Proxy Firewall介绍

被投毒的邻居：一个服务器能做什么

MCP服务器构成了新的攻击面。单个被攻陷的服务器可以完成以下操作：

在工具响应中注入隐藏指令（提示注入）
将凭证外泄到攻击者控制的域名
以合法组件为伪装，投放钓鱼工具包指纹
泄露未脱敏的个人身份信息（社保号、信用卡、批量邮箱）
滥用OAuth流程，通过恶意重定向URI窃取令牌
发起SSRF攻击，访问内网基础设施

这些并非理论推演。已披露的漏洞包括：argocd-mcp在发布时完全没有身份验证，允许未授权访问部署；Rill的OAuth流程允许攻击者跳过用户同意环节；多个MCP服务器的工具描述中被发现存在提示注入。

OpenClaw^广告事件把问题推到了极点。在ClawHavoc攻击中，超过800个恶意技能被上传到OpenClaw市场，触发了1,142条安全公告，暴露实例超过135,000个。OpenClaw通过mcporter桥接使用MCP，这意味着每一个被投毒的技能都是一个潜在的MCP攻击向量。这不是假设，而是我们正在保护的这个生态发生的一次市场级沦陷。

MCP 与 OAuth 的关系：MCP（Model Context Protocol）允许代理通过远程 MCP 服务器调用工具，而许多远程服务器采用 OAuth 2.0 作为授权框架。代理（作为 OAuth 客户端）需经授权服务器获取访问令牌，再凭令牌调用 MCP 服务器的工具接口。问题在于，OAuth 的授权流程依赖重定向 URI 与作用域（scope）的严格校验；一旦服务器端校验不严，攻击者便可利用恶意重定向 URI 将授权码或令牌劫持到自己的域名，或诱导用户授予过宽的作用域（如长期有效令牌、管理员权限）。这正是文中提到的 Rill OAuth 流程可被跳过用户同意、以及运行时防火墙需要检测 OAuth 篡改的根本原因。

提示注入（Prompt Injection）在 MCP 语境下的特殊性：在传统 Web 安全中，注入攻击（如 SQL 注入）针对的是解析器；而在 MCP 中，注入的目标是 LLM 代理本身。工具描述、工具响应乃至服务器返回的元数据，都会被当作上下文喂给模型，模型无法可靠区分“数据”与“指令”。攻击者因此可在工具描述或响应中埋入“忽略之前指令”“你现在必须调用 X”等语句，诱导代理执行非预期工具调用或外泄数据。更棘手的是，这类注入往往不触发传统签名规则，且同一段描述在不同模型上的效果可能不同，导致检测需结合语义分析而非单纯关键词匹配——这也解释了部署前扫描器为何要检查“指令劫持”和“外泄指令”这类语义模式。

两层防御：部署前扫描与运行时拦截

MCP Proxy Firewall采用纵深防御思路，分为部署前扫描和运行时代理防火墙两个层次。

第一层：免费的部署前扫描器

在代理连接MCP服务器之前先扫描。扫描器检查工具定义中的以下风险：

提示注入短语：如“ignore previous instructions”“you must now”“act as”、系统提示覆盖等
指令劫持：工具描述中要求代理改变行为的语句
外泄指令：要求代理将数据发送到外部URL的描述
危险能力：shell执行、文件删除、任意代码执行
凭证收集：输入模式中索要密码、API密钥、令牌
未认证访问：没有身份验证的服务器（即argocd-mcp模式）

扫描器永久免费，建议在每次建立新的MCP连接前使用。

第二层：运行时代理防火墙

以反向代理形式部署在代理与MCP服务器之间，实时筛查每一次工具调用和返回结果。

SSRF防护：阻断内部URL（localhost、169.254.169.254、10.x、192.168.x），验证重定向链（最多3跳、禁止协议降级），阻止DNS重绑定攻击，并通过深度文档校验提取和验证嵌入式URL。

OAuth篡改检测：标记可疑作用域（如long_lived_access_token、admin、*），阻断模仿身份提供商的恶意域名，并依据允许列表校验重定向URI。

PII保护：检测响应中未脱敏的社保号、信用卡号、批量邮箱；采用“失败开放+告警”策略——标记待审而非直接阻断，避免误伤正常业务。

威胁情报：将响应与已知钓鱼工具包指纹匹配，对照70万+威胁指标筛查URL，检查钱包地址是否与诈骗关联。

可审计性：每一项决策都经过密码学签名，保留完整的裁定历史与原因代码，每次检测都附带置信度评分。

SSRF 与 DNS 重绑定：SSRF（服务端请求伪造）指攻击者诱导服务器端组件向任意地址发起请求。在 MCP 场景中，代理或 MCP 服务器往往部署在内网，攻击者可通过工具参数传入内部地址（如 169.254.169.254 云元数据端点、10.x/192.168.x 内网段），借服务器之手访问本不可达的资源，甚至窃取云凭证。DNS 重绑定则是绕过初步域名白名单的高级变种：攻击者先让域名解析到合法 IP 通过校验，随后迅速将 DNS 记录切换为内网 IP，使后续请求落到内部目标。运行时防火墙因此不仅要校验初始 URL，还需验证重定向链、限制跳数、禁止协议降级，并对响应中的嵌入式 URL 做深度提取与二次校验，以覆盖这类时间差与间接路径攻击。

谁需要这层防护

企业：如果团队正在构建连接第三方MCP服务器的AI代理，就需要运行时保护。代理防火墙以透明反向代理部署，无需修改代理代码，每项决策都可签名和审计，满足合规要求。

托管服务提供商（MSP）：如果为多个客户管理MCP基础设施，代理防火墙提供单一的筛查瓶颈点。一次部署即可保护所有客户，部署前扫描器允许在接入前审查新的MCP服务器，也提供白标选项。

开发者：部署前扫描器免费，可集成到CI/CD流水线中，在代理连接前扫描每一个MCP服务器。

纵深防御（Defense in Depth）在代理架构中的落地：纵深防御指不依赖单一控制点，而是在多个层面部署互补的防护，使任一层的失效不至于导致整体失守。文中 MCP Proxy Firewall 的两层设计正是这一原则的体现：部署前扫描属于“左移”的静态审查，成本低、可拦截明显恶意的服务器，但无法覆盖运行时动态行为；运行时代理防火墙则在数据流中实时检查，能应对工具描述与响应在运行中才暴露的威胁，却可能带来延迟与误报。两层叠加后，即使某台服务器通过了预扫描，其运行时的异常调用仍会被拦截；即使运行时规则存在漏报，预扫描也能减少高风险连接进入的机会。对于管理多客户的 MSP，这种分层还可转化为集中式策略与单点审计，降低整体运营复杂度。

定价与获取方式

云版：每月49美元，不限扫描次数
部署前扫描器永久免费
API：https://api.relayshield.net/developers
GitHub：https://github.com/nzdsf2-gif/relayshield

为什么是现在

RelayShield运营着一个威胁情报系统，监控125个Telegram市场、拥有70万+威胁指标，长期观察钓鱼工具包、被盗凭证和诈骗基础设施的流转。当MCP出现时，他们看到了同样的模式正在形成。

协议本身很强大，但安全模型建立在“服务器可信”的假设之上。这个假设已经在裂开。MCP Proxy Firewall是他们的回答——为代理时代提供纵深防御。

值得补充的是，这并非个例。Agent生态的安全性正从“模型对齐”转向“工具链对齐”，而MCP作为连接层，恰好是当前最薄弱的环节。无论是自建防火墙还是采用第三方方案，把MCP服务器当作用户输入一样对待——永不信任、始终验证——可能才是在代理时代保持安全的起点。