Model Context Protocol (MCP) — это открытый стандарт, который позволяет ИИ-помощникам подключаться к внешним инструментам и данным, таким как CRM, аналитический аккаунт, файловое хранилище или база данных, через общий интерфейс. Основные риски включают чрезмерные разрешения, инъекции промптов через контент, который читает помощник, ненадежные сторонние серверы и слабое управление учетными данными. Перед внедрением должны быть установлены правила управления: какие серверы одобрены, к чему каждый из них может получить доступ, кто одобряет действия по записи и как регистрируется активность.
Anthropic представила MCP в конце 2024 года как открытый протокол, и с тех пор он был принят другими ИИ-провайдерами и инструментами для разработчиков. MCP-сервер предоставляет инструменты, ресурсы и промпты; MCP-клиент, такой как Claude, ChatGPT в поддерживаемых режимах или IDE-помощник, подключается к нему. Маркетинговая команда может использовать MCP-серверы, чтобы позволить помощнику читать данные Google Analytics, делать запросы к магазину Shopify, искать в Google Drive или публиковать сообщения в Slack.
Почему MCP важен для маркетинговых команд?
До появления MCP для подключения помощника к каждому инструменту требовалась индивидуальная интеграция. MCP стандартизирует это соединение, поэтому один помощник может работать со многими системами. Это значительно упрощает такие задачи, как получение результатов кампании за прошлую неделю с рекламной платформы и их обобщение в документе.
Та же самая удобство является источником риска. Помощник с доступом к десяти системам может нанести в десять раз больше ущерба, если его ввести в заблуждение или неправильно настроить.
Каковы основные риски безопасности?
Инъекция промптов
Если помощник читает веб-страницу, электронное письмо или документ, содержащий скрытые инструкции, он может им следовать. В сочетании с инструментами MCP, которые могут отправлять сообщения или изменять данные, вредоносная инструкция может привести к тому, что помощник сольет информацию или выполнит нежелательные действия. Исследователи безопасности продемонстрировали такие атаки на несколько настроек MCP.
Слишком широкие разрешения
Многие серверы проходят аутентификацию с помощью одного токена, который предоставляет все, что может делать пользователь. Помощник, предназначенный только для чтения отчетов, может через тот же токен удалить кампании.
Ненадежные серверы
Любой может опубликовать MCP-сервер. Сервер из неизвестного источника может регистрировать данные, изменять описания своих инструментов после установки или содержать уязвимый код. Локальный запуск непроверенных серверов дает им доступ к машине.
Раскрытие учетных данных
API-ключи, хранящиеся в простых конфигурационных файлах, передаваемые между сотрудниками или загружаемые в репозитории, являются распространенной слабостью. Спецификация MCP добавила авторизацию на основе OAuth для удаленных серверов, но реализации различаются.
Каковы практические ограничения MCP?
- Помощники могут выбрать не тот инструмент или передать неверные параметры
- Большие выборки данных могут превысить ограничения контекста и быть усечены
- Качество серверов сильно варьируется; некоторые поддерживаются поставщиками, многие — частными лицами
- Не каждый клиент поддерживает все функции или транспорт MCP
- Аудиторское логирование часто остается на усмотрение автора сервера и может быть минимальным
Какие правила управления следует установить в первую очередь?
- Список одобренных серверов: только официальные серверы поставщиков или проверенные внутри компании
- Только чтение по умолчанию: действия по записи и удалению требуют явного одобрения для каждого случая использования
- Учетные данные с минимальными привилегиями: отдельные токены с минимальными областями доступа для каждого сервера
- Подтверждение человеком для любого действия, которое отправляет, публикует, тратит или удаляет
- Никаких серверов, объединяющих чтение ненадежного контента с чувствительным доступом на запись в одной сессии
- Логирование: записывайте, какие инструменты были вызваны, кем и с каким результатом
- Владелец для каждого сервера: кто-то, ответственный за обновления и проверку изменений
Правило о сочетании возможностей заслуживает особого внимания. Помощник, который просматривает открытый веб и также имеет разрешение отправлять электронные письма клиентам, — это сочетание высокого риска. Разделите их или требуйте подтверждения для каждого исходящего действия.
Как команде следует проверять MCP-сервер перед одобрением?
Проверьте, кто его публикует, является ли код открытым, когда он был в последний раз обновлен и какие разрешения он запрашивает. Прочитайте описания инструментов, потому что они фактически являются инструкциями для модели. Протестируйте его в песочнице без реальных данных клиентов, прежде чем подключать к производственным системам.
Отдавайте предпочтение удаленным серверам с OAuth и ограниченными разрешениями от самого поставщика инструмента, если это возможно. Многие крупные платформы теперь публикуют официальные серверы.
Как Alien Road применяет Model Context Protocol
В типичном проекте мы начинаем с перечисления задач, которые клиент хочет поручить помощнику, и систем, которых касаются эти задачи. Большинство маркетинговых сценариев использования, таких как отчетность, исследования и черновики, требуют только доступа на чтение, что определяет всю настройку.
Настройка включает выбор официальных или проверенных серверов, создание ограниченных учетных данных для каждого из них, настройку клиентского приложения так, чтобы действия по записи требовали подтверждения, и написание политики на одной странице со списком одобренных серверов и владельцев. Мы сначала тестируем в аккаунтах-песочницах. Для измерения и отчетности мы просматриваем логи вызовов инструментов с клиентом, отслеживаем время, сэкономленное на охваченных задачах, и записываем любые заблокированные или неожиданные действия, чтобы управление проверялось на основе реального использования, а не предположений.
Как выглядит первый сценарий использования с низким риском?
Хороший первый проект — это помощник по отчетности только для чтения. Он подключается к Google Analytics, Search Console и рекламной платформе только с правами на чтение и создает еженедельную сводку для команды. Ничего нельзя изменить, и худший случай — это неточная сводка, которую человек проверяет перед отправкой.
Как только это заработает хорошо, команда может добавить доступ на запись к одному месту назначения с низким риском, например, создание черновиков документов в общей папке, все еще с подтверждением.
Как MCP относится к правилам защиты данных?
Когда помощник извлекает данные клиентов через MCP-сервер, эти данные могут попасть в системы ИИ-провайдера. Согласно GDPR и KVKK, провайдер становится обработчиком, и бизнесу требуется соглашение об обработке данных и четкая цель для передачи.
Проверьте, где ИИ-провайдер обрабатывает данные, исключают ли бизнес-планы их из обучения и как долго хранятся логи разговоров. Для серверов, которые касаются персональных данных, отдавайте предпочтение агрегированным запросам, таким как итоги кампаний, вместо извлечения отдельных записей клиентов в разговор.
Задокументируйте эти выборы в той же политике, где перечислены одобренные серверы, чтобы одна страница отвечала на вопросы как безопасности, так и конфиденциальности.
С чего начать на этой неделе
Перечислите каждый MCP-сервер или ИИ-коннектор, который в настоящее время активен в помощниках вашей команды, включая личные настройки. Для каждого отметьте, кто его установил, какие учетные данные он использует и может ли он записывать данные. Отключите все, что никто не может объяснить, переключите оставшиеся серверы на самые узкие доступные области доступа и запишите правило одобрения для следующего, прежде чем кто-либо его установит.
Продолжайте читать: ИИ-оптимизация · ИИ-оптимизация