Agent 接入第三方 MCP Server，供应链风险怎么防？
面试怎么回答
风险包括恶意或被篡改的 Server、工具描述里藏指令的投毒、本地 Server 拥有用户全部文件网络权限或远程 Server 拿到过大的 OAuth 授权、同名工具冒充、调用数据流经第三方外泄，以及自动更新导致的版本漂移。防护上先做准入，建立审核过的 Server 白名单，审来源、代码、权限、工具描述和数据流向，优先官方或内部自建；运行时本地 Server 放容器沙箱限制文件和网络，远程授权最小化，锁定版本、更新重审；通过统一的 MCP 网关接入，审计所有调用、检测异常外发和敏感数据；Agent 侧避免同时连接可信内部工具和不可信外部工具，高风险操作人工确认，工具描述变化时告警。
先把这段讲顺；面试官追问时，再展开下面的原理和细节。
详细讲解
MCP 生态发展很快，网上有大量现成的 MCP Server：连数据库的、操作文件的、调各种 SaaS 的。团队成员装一个就能让 Agent 多一项能力。但这也带来了新的供应链风险。面试官问这题，想看你能不能把软件供应链安全的思路用到 Agent 的工具生态上。
风险在哪里
- 恶意或被篡改的 Server：代码本身有后门，或者某个版本更新时被植入恶意代码；
- 工具描述投毒：工具的描述文本会进入模型上下文，攻击者可以在描述里写入隐藏的指令，诱导模型执行其他操作，比如读取敏感文件并通过参数发送出去；
- 过度权限：本地运行的 Server 拥有当前用户的文件和网络权限，远程 Server 拿到了 OAuth 授权后可以访问用户的数据；
- 工具名称冲突和冒充：两个 Server 提供同名工具，恶意的那个被优先调用；
- 数据外泄：工具调用的参数和返回经过第三方服务，敏感数据离开了公司；
- 版本漂移：Server 自动更新后行为改变。
防护措施
准入
- 建立公司认可的 MCP Server 清单，只允许使用经过审核的 Server；
- 审核内容：来源和维护者、代码（开源的要审）、请求的权限、工具描述的内容、数据流向；
- 优先使用官方或可信方维护的 Server，或者内部自建。
运行时隔离
- 本地 Server 在受限的环境中运行（容器、沙箱），限制文件系统和网络访问；
- 远程 Server 的授权使用最小权限范围；
- 锁定版本，更新要重新审核。
网关和审计
- 通过统一的 MCP 网关或代理接入，记录所有工具调用；
- 检测异常：大量读取文件、向外部发送数据、调用频率异常；
- 敏感数据检测，禁止向未授权的外部 Server 发送。
Agent 侧
- 避免一个 Agent 同时连接可信的内部数据工具和不可信的外部工具；
- 高风险操作需要人工确认；
- 工具描述变化时告警（防止更新后描述被植入指令）。