Tekoälytyöntekijän on tarkistettava projektipalvelin tai käynnistettävä hyväksytty toiminto. Se tarvitsee asianmukaiset työkalut ja oikeudet. Kaikki API-tokenit ja yksityiset SSH-avaimet sisältävä tiedosto projektikansiossa helpottaa toimintaa, mutta kasvattaa virheen tai manipuloidun syötteen mahdollisia seurauksia.
Hallittu MCP-välittäjä voi rajata sallitut toiminnot täsmällisesti. Agentti pyytää määriteltyä toimintoa, ja palvelin tarkistaa identiteetin, projektin ja oikeuden. Jos työnkulku sallii, rajattu taustapalvelu käyttää tarvittavia tunnistetietoja palauttamatta niitä mallille.
MCP välittää työkaluja, mutta ei automaattisesti turvallisia oikeuksia
Model Context Protocol kuvaa, miten asiakkaat käyttävät palvelimen työkaluja ja muita toimintoja. Sovelluksen on ratkaistava luotettavasti, saako käyttäjä suorittaa tietyn toiminnon tietylle kohteelle. Tunnistettu asiakas ei automaattisesti saa käyttää kaikkia projekteja tai työkaluja.
Suojattuja HTTP-yhteyksiä varten MCP kuvaa OAuth-pohjaisen valtuutusmenettelyn. Nykyinen määritys erottaa sen paikallisista STDIO-yhteyksistä. Sopiva suojaus riippuu käytetystä siirtotavasta. Satunnainen avain URL-parametrissa tai yksi yhteinen pysyvä token ei vastaa eriytettyä oikeuksienhallintaa.
Konkreettinen esimerkki: projekti A pysyy projektina A
Työntekijän tehtävänä on kysyä sovitun palvelun tilaa projektissa A. Tarkoitukseen tehty työkalu hyväksyy tarkistetun kohdetunnisteen ja palauttaa vain tarvittavan tuloksen. Se ei tarjoa vapaasti käytettävää komentotulkkia eikä kaikkien salaisuuksien yleistä vientiä.
Jokainen kutsu tarkistetaan palvelimella käyttäjän, projektin, työkalun ja toiminnon perusteella. Asiakkaan muuttama projektitunniste ei saa mahdollistaa pääsyä projektiin B. Kohteet ratkaistaan hyväksytyistä määrityksistä; mallin antama mielivaltainen osoite ei ole riittävä valtuutus. Myös asiakasorganisaatioiden rajat kuuluvat tarkistukseen.
Tarkista tokenin oikea vastaanottaja
Suojatulla HTTP-MCP-palvelimella käyttöoikeustokenin on oltava myönnetty tarkoitetulle vastaanottajalle, jonka on tarkistettava se. Audience, sallittu laajuus ja voimassaolo kuuluvat yhteen. Lyhyt elinikä rajaa varastetun tokenin käyttöaikaa; se ei korvaa palvelimen kohdekohtaista tarkistusta eikä perumismenettelyä.
MCP:n turvallisuusohjeet kieltävät tarkistamattoman token-passthrough’n: palvelin ei saa hyväksyä muille resursseille myönnettyjä tokeneita omaksi valtuutustodisteekseen ja välittää niitä muuttamattomina jatko-API:lle. MCP-asiakkaan kirjautuminen ja kohdejärjestelmän käyttöoikeus ovat erillisiä luottamussuhteita. Epäselvä siirtymä voi saada etuoikeutetun välittäjän toimimaan jonkun muun tarkoituksiin; tätä kutsutaan confused deputy -ongelmaksi.
Käytä salaisuuksia tarkoitetussa taustajärjestelmässä
Hallittu salaisuuksien taustajärjestelmä voi luovuttaa tunnistetietoja vastuun ja käyttötarkoituksen mukaan. Suorittava palvelu saa vain tarvittavat oikeudet. Hallintaliittymä käsittelee hyväksynnät, määritykset ja oikeuksien perumisen; siitä ei tule kaikille liitetyille työntekijöille avointa salasanaluetteloa.
Rajattu työkalu voi esimerkiksi lukea tilatiedon tai suorittaa erikseen sallitun ylläpitotoiminnon ja palauttaa puhdistetun tuloksen. Salaisuuksien taustajärjestelmän raaka-arvot eivät saa päätyä sivutuotteena työkalutulosteisiin, virheilmoituksiin, jäljityksiin tai kehotteisiin. Jos tietty asiakas teknisesti tarvitsee salaisuuden, luovutus arvioidaan nimenomaisesti ja rajataan laajuuden, eliniän ja vastaanottajan osalta. Yleinen takuu salaisuuksien täydellisestä piilottamisesta olisi silloin väärä.
| Tarkistuskohde | Tavoiteltu raja | Konkreettinen testi |
|---|---|---|
| Käyttäjä ja projekti | Jokainen toiminto pysyy sallitun projektin rajoissa. | Vaihda projektitunnistetta: hylkää luvaton pääsy. |
| Työkalu ja parametrit | Vain tarkoitetut toiminnot ja kohteet ovat käytettävissä. | Hylkää mielivaltainen kohdeosoite tai toisen kohteen tunniste. |
| Token ja taustajärjestelmä | Vastaanottaja ja valtuutusreitti ovat yksiselitteiset. | Testaa väärä audience, vanheneminen ja peruminen. |
| Salaisuudet ja tulokset | Vain tarvittavat tulokset poistuvat taustajärjestelmästä. | Tarkista työkalutulosteet, virheet ja lokit raaka-arvojen varalta. |
| Hyväksyntä ja ylläpito | Merkittäviä seurauksia aiheuttavat muutokset hyväksytään erikseen. | Testaa kohdesidonta, elinikä, rajat ja häiriötilanteen menettely. |
Ulkoinen sisältö ei saa myöntää oikeutta
Tiketti, verkkosivu tai koodivarasto voi sisältää tekstiä, jonka tarkoitus on ohjata agenttia muihin toimiin. Myös työkalukuvauksia ja palautettuja tuloksia voidaan manipuloida. Tällainen sisältö on dataa, ei valtuutustodiste. Kehote kuten ”käytä vain projektia A” auttaa tehtävän kuvauksessa, mutta ei korvaa teknisesti valvottua projektirajaa.
Tarkasti rajatut työkalut, tarkistetut parametrit, rajatut kohdejärjestelmät ja riippumaton oikeustarkistus vähentävät prompt injection -hyökkäyksen vaikutuksia. Lisähyväksynnät määräytyvät toiminnon mukaan: tilakysely edellyttää erilaista menettelyä kuin merkittäviä seurauksia aiheuttava muutos. Hyväksyntä sidotaan tiettyyn kohteeseen ja aiottuun muutokseen.
Suunnittele lokitus ja oikeuksien peruminen
Jäljitettävää toimintaa varten kirjataan käyttäjän tai palvelun identiteetti, projekti, työkalu, päätös, aika ja tulos. Salaisia arvoja ei kirjata. Säilytys, lokien käyttöoikeudet ja tarvittava tarkkuus sovitaan ympäristön mukaan. Yksittäinen onnistumismerkintä ei korvaa sen tarkistamista, mitä kohteessa todella tapahtui.
Kutsumäärärajat, aikarajat ja rajattu taustajärjestelmän laajuus vähentävät odottamattomien kutsujen seurauksia. Oikeuksia peruttaessa uudet kutsut, jo myönnetyt valtuutustodisteet ja käynnissä olevat toiminnot käsitellään erikseen. MCP- tai salaisuuksienhallintapalvelun häiriö vaatii määritellyn virheenkäsittely- ja palautumisreitin.
Aloita pienestä pilotista
Sopiva pilotti alkaa yhdestä projektista ja muutamasta vain lukevasta työkalusta. Testaa sallitut ja kielletyt kohdetunnisteet, puuttuvat oikeudet, vanhentuneet valtuutustodisteet, manipuloidut tulokset ja taustajärjestelmän häiriö. Vasta sen jälkeen arvioidaan selvästi rajattuja kirjoitustoimintoja. Laajuus riippuu riskistä ja nykyisestä ylläpidosta.
DAXS auttaa arkkitehtuurissa, integraatiossa ja todennettavassa työkaluvalikoimassa. Lisätietoa tarjoavat MCP:tä ja rajapintoja käsittelevä sivu, hallittuja SSH-yhteyksiä käsittelevä artikkeli sekä tekoälyn turvallisuuskatsaus. Voit keskustella projektikohtaisesta tekoälyintegraatiosta.
Usein kysyttyä
Voiko MCP-palvelin piilottaa kaikki tunnistetiedot mallilta?
Sopivasti suunnitelluissa palvelinpuolen toiminnoissa malli voi saada vain puhdistetun tuloksen. On tarkistettava, onnistuuko tämä kaikissa tarvittavissa tehtävissä. Salaisuuden tekninen luovuttaminen asiakkaalle muuttaa riskiarviota.
Riittääkö pitkä salainen token suojaukseksi?
Ei. Myös vastaanottaja, laajuus, voimassaolo, käyttäjä- ja projektimääritys sekä konkreettinen toiminto tarkistetaan. Yksi laajat oikeudet antava token ei itsessään luo tätä erottelua.
Miten usean projektin pilotti alkaa?
Ensin määritellään ja testataan yhden projektin sallitut toiminnot. Sen jälkeen toista projektia testataan myös nimenomaisesti kielletyillä ristiviittauksilla. Vain todella valvottu erottelu luo pohjan lisätehtäville.
Lähteet: MCP: valtuutus, versio 28.07.2026 (ulkoinen linkki) · MCP: luottamusrajat ja token-passthrough (ulkoinen linkki) · OWASP: valtuutus kutsu- ja kohdekohtaisesti (ulkoinen linkki) · OWASP: salaisuuksien hallinta (ulkoinen linkki) · OWASP: prompt injection -riskin rajaaminen (ulkoinen linkki)
Konkreettiset toiminnot ja ylläpidon laajuus sovitaan kyseistä ympäristöä varten.
