నేపథ్యం
ఈ భద్రతా తనిఖీ జాబితాను @SlowMist_Team రూపొందించి నిర్వహిస్తుంది, ఇది బ్లాక్‌చెయిన్ మరియు కృత్రిమ మేధస్సు పర్యావరణ వ్యవస్థ యొక్క భద్రతను మెరుగుపరచడానికి ఉద్దేశించబడింది. ఈ జాబితాకు FENZ.AI చేసిన విలువైన సహకారానికి ధన్యవాదాలు.
సారాంశం
2024 చివరిలో విడుదలైనప్పటి నుండి, MCP విస్తృతంగా క్లాడ్ డెస్క్‌టాప్, కర్సర్ వంటి ప్రధాన AI అప్లికేషన్‌లలో ఉపయోగించబడింది. అయితే, MCP యొక్క వేగవంతమైన ప్రజాదరణ కొత్త భద్రతా సవాళ్లను తెచ్చిపెట్టింది. ప్రస్తుత MCP ఆర్కిటెక్చర్ హోస్ట్ (స్థానికంగా నడుస్తున్న AI అప్లికేషన్ వాతావరణం), క్లయింట్ (సర్వర్‌తో కమ్యూనికేట్ చేయడానికి మరియు టూల్స్ కాల్ చేయడానికి బాధ్యత వహించే భాగం) మరియు సర్వర్ (MCP ప్లగిన్‌కు సంబంధించిన సర్వర్) అనే మూడు భాగాలుగా రూపొందించబడింది. వినియోగదారులు హోస్ట్ ద్వారా AIతో సంకర్షణ చెందుతారు, క్లయింట్ వినియోగదారు అభ్యర్థనను విశ్లేషిస్తుంది మరియు MCP సర్వర్‌కు ఫార్వార్డ్ చేస్తుంది, టూల్స్ కాల్స్ లేదా రిసోర్స్ యాక్సెస్‌ను అమలు చేస్తుంది. బహుళ-ఉదాహరణ, బహుళ-భాగం సహకారంతో పనిచేసే సందర్భంలో, ఈ ఆర్కిటెక్చర్ అనేక భద్రతా ప్రమాదాలను బహిర్గతం చేస్తుంది, ముఖ్యంగా క్రిప్టోకరెన్సీ లావాదేవీలు లేదా LLM అనుకూలీకరించిన ప్లగిన్ అనుసరణ వంటి సున్నితమైన సందర్భాలలో, తగిన భద్రతా చర్యలతో నిర్వహించాల్సిన అవసరం ఉంది.
అందువల్ల, సమగ్రమైన MCP భద్రతా తనిఖీ జాబితాను రూపొందించడం మరియు అనుసరించడం చాలా అవసరం. ఈ జాబితా వినియోగదారు ఇంటర్‌ఫేస్, క్లయింట్ భాగాలు, సేవా ప్లగిన్‌లు, బహుళ MCP సహకార యంత్రాంగాలు మరియు నిర్దిష్ట ప్రాంతాలు (క్రిప్టోకరెన్సీ దృశ్యాలు వంటివి) యొక్క భద్రతా అంశాలను కలిగి ఉంటుంది, ఇది డెవలపర్‌లకు సంభావ్య ప్రమాదాలను గుర్తించడంలో మరియు సకాలంలో నిరోధించడంలో సహాయపడుతుంది. ఈ భద్రతా చర్యలను అమలు చేయడం ద్వారా, MCP వ్యవస్థ యొక్క మొత్తం స్థిరత్వం మరియు నియంత్రణను సమర్థవంతంగా మెరుగుపరచవచ్చు, AI అనువర్తనాలు వేగంగా అభివృద్ధి చెందుతున్న సమయంలో భద్రత కూడా సమకాలీకరించబడుతుందని నిర్ధారించవచ్చు.
ఎలా ఉపయోగించాలి
ఈ తనిఖీ జాబితా MCP ప్రాజెక్ట్‌లను ఆడిట్ చేయడంలో ఎదురయ్యే ప్రమాదకర పాయింట్ల ఆధారంగా రూపొందించబడింది, ఇది డెవలపర్‌లు MCP అమలు యొక్క భద్రతను నిర్ధారించడంలో సహాయపడుతుంది. మేము ప్రాజెక్ట్ యొక్క ప్రాముఖ్యతను సూచించడానికి 3 స్థాయిల ప్రాధాన్యత గుర్తులను ఉపయోగిస్తాము:
- 🟢️ సిఫార్సు చేయబడిన అంశాన్ని సూచిస్తుంది, అయితే నిర్దిష్ట పరిస్థితులలో దీనిని విస్మరించవచ్చు.
- 🔶 గట్టిగా సిఫార్సు చేయబడిన అంశాన్ని సూచిస్తుంది, అయితే ప్రత్యేక సందర్భాలలో దీనిని విస్మరించవచ్చు, దీని వలన భద్రతపై ప్రతికూల ప్రభావం ఉంటుంది.
- 🟥️ ఏ సందర్భంలోనూ విస్మరించకూడని అంశాన్ని సూచిస్తుంది, ఈ అంశాలను తొలగిస్తే సిస్టమ్ వైఫల్యం లేదా భద్రతా ఉల్లంఘనకు దారితీయవచ్చు.
MCP సర్వర్ (MCP ప్లగిన్) భద్రత
MCP సర్వీస్ అనేది AI కాల్ కోసం టూల్స్, రిసోర్స్‌లు మరియు ఫంక్షన్‌లను అందించే బాహ్య సేవ. ఇందులో సాధారణంగా రిసోర్స్‌లు, టూల్స్ మరియు ప్రాంప్ట్‌లు ఉంటాయి. MCP సర్వర్ యొక్క భద్రతను నిర్ధారించడానికి ఇక్కడ కొన్ని అంశాలు ఉన్నాయి:
API భద్రత
- ఇన్‌పుట్ ధ్రువీకరణ: 🟥️ అన్ని API ఇన్‌పుట్‌లను ఖచ్చితంగా ధృవీకరించండి, ఇంజెక్షన్ దాడులు మరియు చట్టవిరుద్ధమైన పారామితులను నిరోధించండి. డేటా రకం, పొడవు మరియు ఫార్మాట్‌ను ధృవీకరించడం మరియు ఇన్‌పుట్‌ను శుభ్రపరచడం మరియు తప్పించడం ఇందులో ఉంటుంది.
- API రేటు పరిమితి: 🔶 దుర్వినియోగం మరియు దాడులను నిరోధించడానికి API కాల్ రేటు పరిమితులను అమలు చేయండి. ఇది పెద్ద సంఖ్యలో అభ్యర్థనలను పంపడం ద్వారా సర్వర్‌ను ముంచెత్తకుండా దురుద్దేశపూరిత వినియోగదారులను నిరోధించగలదు.
- అవుట్‌పుట్ ఎన్‌కోడింగ్: 🔶 క్రాస్-సైట్ స్క్రిప్టింగ్ (XSS) దాడులను నిరోధించడానికి API అవుట్‌పుట్‌ను సరిగ్గా ఎన్‌కోడ్ చేయండి. HTML, JavaScript మరియు URL వంటి అవుట్‌పుట్‌లను ఎన్‌కోడ్ చేయడం ఇందులో ఉంటుంది.
సర్వర్ ప్రమాణీకరణ మరియు అధికారికత
- యాక్సెస్ నియంత్రణ: 🟥️ రోల్ ఆధారిత యాక్సెస్ నియంత్రణను అమలు చేయండి, రిసోర్స్ యాక్సెస్‌ను పరిమితం చేయండి, కనిష్ట అధికార సూత్రాన్ని అమలు చేయండి. అధికారం పొందిన వినియోగదారులు మాత్రమే నిర్దిష్ట రిసోర్స్‌లను యాక్సెస్ చేయగలరు.
- అధికారిక పత్రాల నిర్వహణ: 🟥️ సర్వీస్ ఆధారాలను సురక్షితంగా నిర్వహించండి మరియు నిల్వ చేయండి, హార్డ్ కోడింగ్‌ను నివారించండి, కీ నిర్వహణ సేవలను ఉపయోగించండి. ఆధారాలను నిల్వ చేయడానికి ఎన్‌క్రిప్షన్‌ను ఉపయోగించడం మరియు ఆధారాలను క్రమం తప్పకుండా మార్చడం ఇందులో ఉంటుంది.
- బాహ్య సర్వీస్ ప్రమాణీకరణ: 🟥️ మూడవ పార్టీ సర్వీస్‌లకు సురక్షిత మార్గంలో ప్రమాణీకరించండి. OAuth 2.0 లేదా SAML వంటి సురక్షిత ప్రోటోకాల్‌లను ఉపయోగించడం ఇందులో ఉంటుంది.
- కనిష్ట అనుమతులు: 🔶 సర్వీస్ ప్రాసెస్‌లు అవసరమైన కనిష్ట అనుమతులతో రన్ అవుతాయి, సంభావ్య దాడి ఉపరితలం మరియు ఎలివేషన్ ప్రమాదాలను తగ్గిస్తాయి. సర్వీస్‌కు దాని కార్యాచరణను నిర్వహించడానికి అవసరమైన అనుమతులు మాత్రమే ఉండాలి.
- API కీ రొటేషన్: 🔶 API కీలను మరియు సర్వీస్ ఆధారాలను క్రమం తప్పకుండా స్వయంచాలకంగా మార్చండి, కీ చెల్లుబాటు వ్యవధిని పరిమితం చేయండి. ఇది కీ లీకేజ్ ప్రమాదాన్ని తగ్గిస్తుంది.
- సర్వీస్ ప్రమాణీకరణ: 🔶 టూల్స్ సర్వీస్ గుర్తింపును ధృవీకరించడానికి యంత్రాంగాన్ని అందించండి, క్లయింట్‌లు ధృవీకరించడానికి మరియు సురక్షితంగా ఉపయోగించడానికి సులభతరం చేయండి. క్లయింట్ విశ్వసనీయ సర్వీస్‌తో కమ్యూనికేట్ చేస్తున్నారో లేదో ధృవీకరించడానికి ఇది సహాయపడుతుంది.
నేపథ్య నిలకడ నియంత్రణ
- జీవితకాల నిర్వహణ: 🟥️ క్లయింట్‌తో సమకాలీకరించబడిన కఠినమైన MCP ప్లగిన్ జీవితకాల నిర్వహణను అమలు చేయండి. ప్లగిన్‌లు అవసరం లేనప్పుడు సరిగ్గా ప్రారంభించబడాలి మరియు ఆపివేయబడాలి.
- క్లోజ్ క్లీనింగ్: 🟥️ క్లయింట్ మూసివేసినప్పుడు అన్ని MCP నేపథ్య ప్రాసెస్‌లను బలవంతంగా క్లీన్ చేయండి. ఇది క్లయింట్ మూసివేసిన తర్వాత కూడా హానికరమైన ప్లగిన్‌లు రన్ కాకుండా నిరోధించగలదు.
- ఆరోగ్య తనిఖీ యంత్రాంగం: 🔶 MCP ప్లగిన్ స్థితిని క్రమం తప్పకుండా తనిఖీ చేయండి, అసాధారణమైన నిలకడను గుర్తించండి. ఇది సక్రమంగా పనిచేయని ప్లగిన్‌లను గుర్తించడంలో సహాయపడుతుంది.
- నేపథ్య కార్యాచరణ పర్యవేక్షణ: 🔶 అన్ని MCP నేపథ్య కార్యాచరణలను పర్యవేక్షించండి మరియు రికార్డ్ చేయండి. ఇది హానికరమైన కార్యాచరణను గుర్తించడంలో సహాయపడుతుంది.
- కార్యాచరణ పరిమితి: 🔶 MCP ప్లగిన్ నేపథ్యంలో నిర్వహించగల కార్యాచరణ రకాలు మరియు వ్యవధిని పరిమితం చేయండి. ఇది హానికరమైన ప్లగిన్‌ల ద్వారా కలిగే నష్టాన్ని తగ్గిస్తుంది.
విస్తరణ మరియు రన్‌టైమ్ భద్రత
- వేరుచేయబడిన వాతావరణం: 🟥️ సర్వీస్‌లు వేరుచేయబడిన వాతావరణంలో (కంటైనర్, VM, సాండ్‌బాక్స్) రన్ అవుతాయి, తప్పించుకోవడాన్ని నిరోధించండి, తూర్పు-పడమర కదలిక దాడులను నిరోధించండి. ఇది ఇతర సర్వీస్‌లు లేదా సిస్టమ్‌లను ప్రభావితం చేయకుండా హానికరమైన సర్వీస్‌లను నిరోధించగలదు.
- కంటైనర్ భద్రత: 🟥️ బలపర్చిన కంటైనర్ భద్రతా కాన్ఫిగరేషన్‌ను ఉపయోగించండి మరియు రూట్ కాని వినియోగదారును రన్ చేయండి, మార్పులేని మౌలిక సదుపాయాలను అమలు చేయండి, రన్‌టైమ్ రక్షణను అమలు చేయండి. ఇది కంటైనర్ యొక్క భద్రతను మెరుగుపరుస్తుంది.
- సురక్షిత ప్రారంభం: 🔶 సర్వీస్ ప్రారంభ ప్రక్రియ యొక్క సమగ్రతను ధృవీకరించండి, సురక్షిత ప్రారంభ గొలుసును మరియు సమగ్రత తనిఖీని అమలు చేయండి. ప్రారంభ సమయంలో హానికరమైన సర్వీస్‌లు చొప్పించబడకుండా ఇది నిరోధించగలదు.
- పర్యావరణ వేరియబుల్ భద్రత: 🔶 సున్నితమైన పర్యావరణ వేరియబుల్స్ రక్షించబడతాయి మరియు లాగ్‌లలో బహిర్గతం కావు. ఇది సున్నితమైన సమాచారాన్ని యాక్సెస్ చేయకుండా హానికరమైన వినియోగదారులను నిరోధించగలదు.
- రిసోర్స్ పరిమితులు: 🔶 మోడల్ తప్పిపోయినప్పుడు పెద్ద సంఖ్యలో వృత్తాకార పునరావృత కాల్‌లను నిరోధించడానికి రిసోర్స్ వినియోగ పరిమితులను అమలు చేయండి. ఇది హానికరమైన సర్వీస్‌లు సిస్టమ్ రిసోర్స్‌లను హరించకుండా నిరోధించగలదు.
కోడ్ మరియు డేటా సమగ్రత
- సమగ్రత ధ్రువీకరణ యంత్రాంగం: 🟥️ డిజిటల్ సంతకాలు, హాష్ ధ్రువీకరణ మరియు ఇతర యంత్రాంగాలను ఉపయోగించి కోడ్ మార్పు చేయబడలేదని నిర్ధారించుకోండి. ఇది హానికరమైన వినియోగదారులు కోడ్‌ను సవరించకుండా నిరోధించగలదు.
- దూరపు ధ్రువీకరణ: 🔶 కోడ్ సమగ్రతను ధృవీకరించడానికి దూరపు ధ్రువీకరణ యంత్రాంగానికి మద్దతు ఇవ్వండి. కోడ్ మార్పు చేయబడిందో లేదో ధృవీకరించడానికి ఇది రిమోట్ వినియోగదారులను అనుమతిస్తుంది.
- కోడ్ గందరగోళం మరియు పటిష్టం: 🟢️ రివర్స్ ఇంజనీరింగ్ కష్టాన్ని పెంచడానికి కోడ్ గందరగోళం మరియు పటిష్టమైన సాంకేతికతలను వర్తించండి. ఇది హానికరమైన వినియోగదారులను కోడ్‌ను అర్థం చేసుకోవడం మరియు సవరించడం మరింత కష్టతరం చేస్తుంది.
సరఫరా గొలుసు భద్రత
- ఆధారపడిన నిర్వహణ: 🟥️ మూడవ పార్టీ ఆధారపడినవాటిని సురక్షితంగా నిర్వహించండి. ఇది ఆధారపడినవాటిని ట్రాక్ చేయడం, అవి తాజాగా ఉన్నాయని నిర్ధారించుకోవడం మరియు దుర్బలత్వాల కోసం వాటిని స్కాన్ చేయడం ఇందులో ఉంటుంది.
- ప్యాకేజీ సమగ్రత: 🟥️ ప్యాకేజీ యొక్క సమగ్రతను మరియు ప్రామాణికతను ధృవీకరించండి. ఇది హానికరమైన వినియోగదారులు హానికరమైన ప్యాకేజీలను చొప్పించకుండా నిరోధించగలదు.
- మూలం ధ్రువీకరణ: 🔶 అన్ని కోడ్ మరియు ఆధారపడినవాటి మూలాన్ని ధృవీకరించండి. విశ్వసనీయ మూలం నుండి కోడ్ వచ్చిందని నిర్ధారించడానికి ఇది సహాయపడుతుంది.
- నిర్మించడానికి భద్రత: 🔶 నిర్మాణ ప్రక్రియ సురక్షితంగా ఉందని నిర్ధారించుకోండి. ఇది సురక్షితమైన నిర్మాణ సాధనాలను ఉపయోగించడం మరియు నిర్మాణ వాతావరణం సురక్షితంగా ఉందని నిర్ధారించుకోవడం ఇందులో ఉంటుంది.
పర్యవేక్షణ మరియు లాగ్ రికార్డింగ్
- అసాధారణ గుర్తింపు: 🟥️ అసాధారణ కార్యాచరణ నమూనాలను గుర్తించండి మరియు నివేదించండి. ఇది హానికరమైన కార్యాచరణను గుర్తించడంలో సహాయపడుతుంది.
- వివరమైన లాగ్ రికార్డింగ్: 🟥️ అన్ని సర్వీస్ కార్యాచరణలు మరియు భద్రతా సంఘటనలను రికార్డ్ చేయండి. ఇది భద్రతా సంఘటనలను విచారించడానికి సహాయపడుతుంది.
- భద్రతా సంఘటన హెచ్చరిక: 🟥️ కీలకమైన భద్రతా సంఘటనల కోసం నిజ-సమయ హెచ్చరికలను కాన్ఫిగర్ చేయండి. ఇది భద్రతా సంఘటనలకు సకాలంలో స్పందించడానికి సహాయపడుతుంది.
- కేంద్రీకృత లాగ్ నిర్వహణ: 🔶 లాగ్‌లను కేంద్రీకృతంగా సేకరించి విశ్లేషించండి. ఇది భద్రతా సంఘటనల యొక్క మరింత సమగ్ర వీక్షణను అందించగలదు.
- లాగ్ సమగ్రత: 🔶 లాగ్ సమగ్రతను నిర్ధారించుకోండి, మార్పులను నిరోధించండి. ఇది హానికరమైన వినియోగదారులు లాగ్‌లను తొలగించడం లేదా సవరించడం నిరోధించగలదు.
- ఆడిట్ సామర్థ్యం: 🔶 వివరణాత్మక ఆడిట్ మరియు సంఘటన పరిశోధనకు మద్దతు ఇవ్వండి. ఇది భద్రతా సంఘటనల కారణాన్ని గుర్తించడంలో సహాయపడుతుంది.
కాల్ వాతావరణం వేరుచేయడం
- MCP మధ్య వేరుచేయడం: 🟥️ బహుళ MCP సేవల మధ్య కార్యాచరణ వేరుచేయడాన్ని నిర్ధారించుకోండి. ఇది ఇతర MCP సేవలను ప్రభావితం చేయకుండా హానికరమైన MCP సేవలను నిరోధించగలదు.
- రిసోర్స్ యాక్సెస్ నియంత్రణ: 🟥️ ప్రతి MCP సేవకు స్పష్టమైన రిసోర్స్ యాక్సెస్ అనుమతి సరిహద్దులను కేటాయించండి. ఇది హానికరమైన MCP సేవ యాక్సెస్ చేయగల రిసోర్స్‌లను పరిమితం చేయగలదు.
- టూల్ అనుమతి విభజన: 🔶 విభిన్న రంగాల టూల్స్ వేర్వేరు అనుమతి సెట్‌లను ఉపయోగిస్తాయి. ఇది హానికరమైన టూల్స్ ద్వారా కలిగే నష్టాన్ని తగ్గిస్తుంది.
ప్లాట్‌ఫారమ్ అనుకూలత మరియు భద్రత
- సిస్టమ్ రిసోర్స్ వేరుచేయడం: 🟥️ వివిధ ఆపరేటింగ్ సిస్టమ్ లక్షణాల ప్రకారం తగిన రిసోర్స్ వేరుచేసే వ్యూహాలను అమలు చేయండి. ఇది ఇతర సేవలను లేదా సిస్టమ్‌లను ప్రభావితం చేయకుండా హానికరమైన సేవలను నిరోధించగలదు.
- క్రాస్-ప్లాట్‌ఫారమ్ అనుకూలత పరీక్ష: 🔶 వివిధ ఆపరేటింగ్ సిస్టమ్‌లు మరియు క్లయింట్‌లపై MCP సర్వీస్ యొక్క సురక్షిత ప్రవర్తన స్థిరత్వాన్ని పరీక్షించండి. అన్ని ప్లాట్‌ఫారమ్‌లపై సర్వీస్ సురక్షితంగా ఉందని ఇది నిర్ధారించగలదు.
- ప్లాట్‌ఫారమ్ నిర్దిష్ట ప్రమాద అంచనా: 🔶 నిర్దిష్ట ప్లాట్‌ఫారమ్ యొక్క ప్రత్యేక భద్రతా ప్రమాదాలు మరియు ఉపశమన చర్యలను అంచనా వేయండి. ఇది ప్లాట్‌ఫారమ్ నిర్దిష్ట భద్రతా ప్రమాదాలను గుర్తించడంలో మరియు తగ్గించడంలో సహాయపడుతుంది.
- క్లయింట్ వ్యత్యాస నిర్వహణ: 🔶 భద్రతా నియంత్రణలు వివిధ క్లయింట్ అమలు వ్యత్యాసాలకు అనుగుణంగా ఉండగలవని నిర్ధారించుకోండి. ఇది అన్ని క్లయింట్‌లతో సర్వీస్ సురక్షితంగా ఉందని నిర్ధారించగలదు.
డేటా భద్రత మరియు గోప్యత
- డేటా కనిష్టీకరణ: 🟥️ అవసరమైన డేటాను మాత్రమే సేకరించి ప్రాసెస్ చేయండి. ఇది డేటా లీకేజ్ ప్రమాదాన్ని తగ్గిస్తుంది.
- డేటా ఎన్‌క్రిప్షన్: 🟥️ సున్నితమైన డేటా నిల్వ మరియు ప్రసారంలో ఎన్‌క్రిప్ట్ చేయబడుతుంది. ఇది సున్నితమైన సమాచారాన్ని యాక్సెస్ చేయకుండా హానికరమైన వినియోగదారులను నిరోధించగలదు.
- డేటా వేరుచేయడం: 🟥️ వేర్వేరు వినియోగదారుల డేటా సమర్థవంతంగా వేరుచేయబడుతుంది. ఇది ఇతర వినియోగదారుల డేటాను యాక్సెస్ చేయకుండా హానికరమైన వినియోగదారులను నిరోధించగలదు.
- డేటా యాక్సెస్ నియంత్రణ: 🟥️ కఠినమైన డేటా యాక్సెస్ నియంత్రణను అమలు చేయండి. ఇది డేటాకు యాక్సెస్‌ను పరిమితం చేయగలదు.
- సున్నితమైన డేటా గుర్తింపు: 🟥️ సున్నితమైన డేటాను స్వయంచాలకంగా గుర్తించి ప్రత్యేకంగా నిర్వహించండి. ఇది సున్నితమైన డేటా లీక్ కాకుండా నిరోధించడంలో సహాయపడుతుంది.
రిసోర్స్ భద్రత
- రిసోర్స్ యాక్సెస్ నియంత్రణ: 🟥️ కణికా రిసోర్స్ యాక్సెస్ నియంత్రణను అమలు చేయండి. ఇది నిర్దిష్ట రిసోర్స్‌లకు యాక్సెస్‌ను పరిమితం చేయగలదు.
- రిసోర్స్ పరిమితి: 🔶 ఒకే రిసోర్స్ యొక్క పరిమాణాన్ని మరియు పరిమాణాన్ని పరిమితం చేయండి. ఇది హానికరమైన వినియోగదారులు సిస్టమ్ రిసోర్స్‌లను హరించకుండా నిరోధించగలదు.
- రిసోర్స్ టెంప్లేట్ భద్రత: 🔶 రిసోర్స్ టెంప్లేట్ పారామితులు ధృవీకరించబడ్డాయని మరియు శుభ్రం చేయబడ్డాయని నిర్ధారించుకోండి. ఇది హానికరమైన వినియోగదారులు హానికరమైన కోడ్‌ను చొప్పించకుండా నిరోధించగలదు.
- సున్నితమైన రిసోర్స్ మార్కింగ్: 🔶 సున్నితమైన రిసోర్స్‌లను గుర్తించండి మరియు ప్రత్యేకంగా నిర్వహించండి. ఇది సున్నితమైన రిసోర్స్‌లు లీక్ కాకుండా నిరోధించడంలో సహాయపడుతుంది.
టూల్ అమలు భద్రత
- సురక్షిత కోడింగ్ పద్ధతులు: 🟥️ సురక్షిత కోడింగ్ ప్రమాణాలను మరియు ఉత్తమ పద్ధతులను అనుసరించండి. ఇది కోడ్‌లోని దుర్బలత్వాల సంఖ్యను తగ్గిస్తుంది.
- టూల్ వేరుచేయడం: 🟥️ టూల్ ఎగ్జిక్యూషన్ నియంత్రిత వాతావరణంలో జరుగుతుంది, సిస్టమ్ స్థాయి ప్రభావాన్ని నిరోధించండి. ఇది ఇతర సేవలను లేదా సిస్టమ్‌లను ప్రభావితం చేయకుండా హానికరమైన టూల్స్‌ను నిరోధించగలదు.
- ఇన్‌పుట్ ధ్రువీకరణ: 🟥️ క్లయింట్ నుండి వచ్చే అన్ని ఇన్‌పుట్‌లను ఖచ్చితంగా ధృవీకరించండి. ఇది హానికరమైన వినియోగదారులు హానికరమైన కోడ్‌ను చొప్పించకుండా నిరోధించగలదు.
- టూల్ అనుమతి నియంత్రణ: 🟥️ ప్రతి టూల్‌కు టాస్క్‌ను పూర్తి చేయడానికి అవసరమైన కనీస అనుమతులు మాత్రమే ఉంటాయి. ఇది హానికరమైన టూల్స్ ద్వారా కలిగే నష్టాన్ని తగ్గిస్తుంది.
- డేటా ధ్రువీకరణ: 🟥️ ఇంజెక్షన్ మరియు తారుమారుని నిరోధించడానికి టూల్ ద్వారా ప్రాసెస్ చేయబడిన డేటాను ధృవీకరించండి. ఇది హానికరమైన వినియోగదారులు హానికరమైన డేటాను చొప్పించకుండా నిరోధించగలదు.
- టూల్ ప్రవర్తన పరిమితి: 🟥️ టూల్ నిర్వహించగల కార్యాచరణల పరిధిని మరియు రకాన్ని పరిమితం చేయండి. ఇది హానికరమైన టూల్స్ ద్వారా కలిగే నష్టాన్ని తగ్గిస్తుంది.
- మూడవ పార్టీ ఇంటర్‌ఫేస్ నుండి తిరిగి వచ్చే సమాచారం యొక్క భద్రత: 🟥️ ఇంటర్‌ఫేస్ నుండి తిరిగి వచ్చే సమాచారం అంచనాలకు అనుగుణంగా ఉందో లేదో ధృవీకరించండి, తిరిగి వచ్చే సమాచారాన్ని నేరుగా సందర్భంలోకి చొప్పించకూడదు. ఇది హానికరమైన టూల్స్ మూడవ పార్టీ ఇంటర్‌ఫేస్‌ను ఉపయోగించకుండా నిరోధించగలదు.
- లోప నిర్వహణ: 🔶 సున్నితమైన సమాచారాన్ని బహిర్గతం చేయకుండా లోపాలను సురక్షితంగా నిర్వహించండి. ఇది హానికరమైన వినియోగదారులు లోప సమాచారాన్ని ఉపయోగించకుండా నిరోధించగలదు.
- పేరు స్థలం వేరుచేయడం: 🔶 వేర్వేరు టూల్స్ కోసం కఠినమైన పేరు స్థలం వేరుచేయడాన్ని అమలు చేయండి. ఇది టూల్స్ మధ్య సంఘర్షణను నిరోధించగలదు.
MCP క్లయింట్/ MCP హోస్ట్ భద్రత
హోస్ట్ అనేది AI అప్లికేషన్‌ను మరియు MCP క్లయింట్‌ను రన్ చేసే వాతావరణం, ఇది తుది వినియోగదారు మరియు AI సిస్టమ్ మధ్య పరస్పర చర్యకు ప్రారంభ స్థానం. క్లయింట్ అనేది AI అప్లికేషన్ లోపల ఉన్న భాగం, ఇది MCP సేవతో కమ్యూనికేట్ చేయడానికి, సందర్భాన్ని నిర్వహించడానికి, టూల్ కాల్స్ మరియు ఫలితాలను ప్రదర్శించడానికి బాధ్యత వహిస్తుంది. MCP క్లయింట్ మరియు హోస్ట్‌ను రక్షించడానికి ఇక్కడ కొన్ని అంశాలు ఉన్నాయి:
వినియోగదారు పరస్పర భద్రత
- వినియోగదారు ఇంటర్‌ఫేస్ భద్రత: 🟥️ వినియోగదారు ఇంటర్‌ఫేస్ AI కార్యాచరణల యొక్క అనుమతి పరిధిని మరియు సంభావ్య ప్రభావాన్ని స్పష్టంగా ప్రదర్శిస్తుంది, సహజమైన భద్రతా సూచికలను అందిస్తుంది. ఇది వినియోగదారులు AIకి ఇచ్చిన అనుమతులను అర్థం చేసుకోవడానికి సహాయపడుతుంది.
- సున్నితమైన కార్యాచరణ నిర్ధారణ: 🟥️ అధిక-ప్రమాద కార్యాచరణలకు (ఫైల్ తొలగింపు, నిధుల బదిలీ వంటివి) స్పష్టమైన వినియోగదారు నిర్ధారణ అవసరం. ఇది వినియోగదారులు అనుకోకుండా అధిక-ప్రమాద కార్యాచరణలను నిర్వహించకుండా నిరోధించగలదు.
- అనుమతి అభ్యర్థన పారదర్శకత: 🟥️ అనుమతి అభ్యర్థన ప్రయోజనం మరియు పరిధిని స్పష్టంగా వివరిస్తుంది, తెలివైన నిర్ణయాలు తీసుకోవడంలో వినియోగదారులకు సహాయపడుతుంది, అధిక అధికారాన్ని నివారిస్తుంది. ఇది వినియోగదారులు AIకి ఇచ్చిన అనుమతులను అర్థం చేసుకోవడానికి సహాయపడుతుంది.
- కార్యాచరణ విజువలైజేషన్: 🔶 టూల్ కాల్స్ మరియు డేటా యాక్సెస్ వినియోగదారుకు కనిపిస్తుంది మరియు ఆడిట్ చేయదగినదిగా ఉండాలి, వివరణాత్మక కార్యాచరణ లాగ్‌లను అందించాలి. AI నిర్వహిస్తున్న కార్యాచరణలను వినియోగదారులు అర్థం చేసుకోవడానికి ఇది సహాయపడుతుంది.
- సమాచారం పారదర్శకత: 🔶 వినియోగదారు చూసేది మరియు వాస్తవానికి ఉత్పత్తి చేయబడిన మరియు పిలువబడే సందర్భం పూర్తి మరియు స్థిరంగా ఉందని, దాచిన ట్యాగ్‌లలో హానికరమైన తర్కం ఉండకుండా నిరోధించడానికి సాధనాలు వినియోగదారులు దాచిన ట్యాగ్‌లను డిఫాల్ట్‌గా ప్రదర్శించాలా వద్దా అని అనుమతించాలి.
- స్థితి అభిప్రాయం: 🔶 వినియోగదారు ప్రస్తుత MCP కార్యాచరణను స్పష్టంగా అర్థం చేసుకోగలడు.
AI నియంత్రణ మరియు పర్యవేక్షణ
- కార్యాచరణ రికార్డ్: 🟥️ అన్ని ముఖ్యమైన AI కార్యాచరణలను మరియు వాటి ఫలితాలను రికార్డ్ చేయండి. ఇది భద్రతా సంఘటనలను విచారించడానికి సహాయపడుతుంది.
- అసాధారణ గుర్తింపు: 🔶 అసాధారణ టూల్ కాల్ నమూనాలను లేదా అభ్యర్థన క్రమాన్ని గుర్తించండి. ఇది హానికరమైన కార్యాచరణను గుర్తించడంలో సహాయపడుతుంది.
- టూల్ కాల్ పరిమితి: 🔶 టూల్ కాల్ ఫ్రీక్వెన్సీ మరియు పరిమాణ పరిమితులను అమలు చేయండి. ఇది హానికరమైన వినియోగదారులు టూల్స్‌ను దుర్వినియోగం చేయకుండా నిరోధించగలదు.
స్థానిక నిల్వ భద్రత
- ఆధారాల సురక్షిత నిల్వ: 🟥️ అనధికారిక ప్రాప్యతను నిరోధించడానికి కీలకమైన ఆధారాల కోసం సిస్టమ్ కీచైన్ లేదా ప్రత్యేక ఎన్‌క్రిప్షన్ నిల్వను ఉపయోగించి ప్రమాణీకరణ ఆధారాలను రక్షించండి. ఇది హానికరమైన వినియోగదారులు ఆధారాలను యాక్సెస్ చేయకుండా నిరోధించగలదు.
- సున్నితమైన డేటా వేరుచేయడం: 🔶 సాధారణ డేటా నుండి వేరుగా సున్నితమైన వినియోగదారు డేటాను నిల్వ చేయడానికి మరియు ప్రాసెస్ చేయడానికి డేటా వేరుచేసే యంత్రాంగాన్ని అమలు చేయండి. ఇది హానికరమైన వినియోగదారులు సున్నితమైన డేటాను యాక్సెస్ చేయకుండా నిరోధించగలదు.
అప్లికేషన్ భద్రత
- అప్లికేషన్ సమగ్రత: 🟥️ తారుమారుని నిరోధించడానికి అప్లికేషన్ మరియు MCP ప్లగిన్ యొక్క సమగ్రతను ధృవీకరించండి. ఇది హానికరమైన వినియోగదారులు అప్లికేషన్‌ను సవరించకుండా నిరోధించగలదు.
- నవీకరణ ధ్రువీకరణ: 🔶 హోస్ట్ అప్లికేషన్ నవీకరణలు డిజిటల్ సంతకం ధ్రువీకరణ ద్వారా జరుగుతాయి. ఇది నవీకరణ విశ్వసనీయ మూలం నుండి వచ్చిందని నిర్ధారిస్తుంది.
- అప్లికేషన్ సాండ్‌బాక్స్: 🟢️ సిస్టమ్ యాక్సెస్‌ను పరిమితం చేయడానికి సాధ్యమైనంతవరకు అప్లికేషన్‌ను సాండ్‌బాక్స్ వాతావరణంలో రన్ చేయండి. ఇది హానికరమైన అప్లికేషన్‌ల ద్వారా కలిగే నష్టాన్ని తగ్గిస్తుంది.
క్లయింట్ ప్రమాణీకరణ మరియు అధికారికత
- బలవంతపు ప్రమాణీకరణ: 🟥️ ఏదైనా ముఖ్యమైన MCP సేవతో కమ్యూనికేట్ చేయడానికి ముందు ప్రమాణీకరణను అమలు చేయండి, అనామక ప్రాప్యతను నిరోధించండి. ఇది అనధికారిక వినియోగదారులు సేవను యాక్సెస్ చేయకుండా నిరోధించగలదు.
- OAuth అమలు: 🔶 ఉత్తమ పద్ధతులు మరియు భద్రతా ప్రమాణాలను అనుసరించి OAuth 2.1 లేదా తదుపరి సంస్కరణ ప్రక్రియను సరిగ్గా అమలు చేయండి. ఇది ప్రమాణీకరణ సురక్షితంగా ఉందని నిర్ధారిస్తుంది.
- స్థితి పారామితులు: 🔶 CSRF దాడులను నిరోధించడానికి కొన్ని వెబ్ క్లయింట్‌ల కోసం స్థితి పారామితులను అమలు చేయండి, ప్రతి అభ్యర్థన కోసం ప్రత్యేక యాదృచ్ఛిక విలువను ఉపయోగించండి. ఇది క్రాస్-సైట్ అభ్యర్థన ఫోర్జరీ (CSRF) దాడులను నిరోధించగలదు.
MCP టూల్స్ మరియు సర్వర్ నిర్వహణ
- MCP టూల్ ధ్రువీకరణ: 🟥️ నమోదిత టూల్ యొక్క ప్రామాణికతను మరియు సమగ్రతను ధృవీకరించండి. ఇది హానికరమైన టూల్ నమోదు కాకుండా నిరోధించగలదు.
- సురక్షిత నవీకరణ: 🟥️ MCP క్లయింట్ క్రమం తప్పకుండా భద్రతా నవీకరణల కోసం తనిఖీ చేస్తుంది మరియు వాటిని వర్తింపజేస్తుంది, నవీకరించబడిన టూల్‌లో హానికరమైన వివరణలు ఉన్నాయో లేదో ధృవీకరించండి. టూల్ తాజాగా ఉందని మరియు హానికరమైన కోడ్ కలిగి లేదని ఇది నిర్ధారిస్తుంది.
- ఫంక్షన్ పేరు ధ్రువీకరణ: 🟥️ పేరు సంఘర్షణలు మరియు సంభావ్య హానికరమైన భర్తీ కోసం టూల్‌ను నమోదు చేయడానికి ముందు తనిఖీ చేయండి. ఇది హానికరమైన టూల్ ఉన్న టూల్‌ను భర్తీ చేయకుండా నిరోధించగలదు.
- హానికరమైన MCP గుర్తింపు: 🟥️ సంభావ్య హానికరమైన MCP యొక్క ప్రవర్తన నమూనాలను పర్యవేక్షించండి మరియు గుర్తించండి. ఇది హానికరమైన MCPని గుర్తించడంలో సహాయపడుతుంది.
- MCP టూల్ పేరు నియంత్రణ: 🔶 పేరు సంఘర్షణను నిరోధించడానికి పేరు స్థలం లేదా ప్రత్యేక ఐడెంటిఫైయర్‌ను ఉపయోగించండి. ఇది టూల్స్ మధ్య సంఘర్షణను నిరోధించగలదు.
- సేవా డైరెక్టరీ: 🔶 విశ్వసనీయ MCP సేవలు మరియు టూల్స్ యొక్క అధీకృత డైరెక్టరీని నిర్వహించండి. ఇది వినియోగదారులు విశ్వసనీయ సేవను కనుగొనడానికి సహాయపడుతుంది.
- సంఘర్షణ పరిష్కారం: 🔶 ఒకే పేరున్న టూల్‌లో సంఘర్షణను పరిష్కరించడానికి స్పష్టమైన నియమాలు ఉన్నాయి.
- డొమైన్ వేరుచేయడం: 🔶 విభిన్న డొమైన్‌ల టూల్స్ ఒకదానికొకటి వేరుచేయబడతాయి, క్రాస్-ఇంపాక్ట్‌ను నిరోధిస్తాయి.
- ప్రాధాన్యత యంత్రాంగం: 🔶 హానికరమైన భర్తీని నివారించడానికి స్పష్టమైన ఫంక్షన్ ప్రాధాన్యత నియమాలను ఏర్పాటు చేయండి.
- సంస్కరణ నియంత్రణ: 🔶 మార్పులను గుర్తించడానికి ఫంక్షన్లు మరియు టూల్స్‌పై సంస్కరణ నియంత్రణను అమలు చేయండి.
- టూల్ నమోదు మరియు రద్దు యంత్రాంగం: 🔶 మిగిలిపోయిన టూల్ యొక్క భద్రతా ప్రమాదాలను నిరోధించడానికి టూల్ నమోదు మరియు రద్దు ప్రక్రియను స్పష్టం చేయండి.
- సంఘర్షణ గుర్తింపు యంత్రాంగం: 🔶 బహుళ MCP వాతావరణాలలో ఫంక్షన్ మరియు రిసోర్స్ సంఘర్షణలను గుర్తించి పరిష్కరించండి.
- టూల్ వర్గీకరణ: 🟢️ సున్నితత్వం మరియు ప్రమాద స్థాయి ప్రకారం టూల్స్‌ను వర్గీకరించండి.
ప్రాంప్ట్ భద్రత
- ప్రాంప్ట్ ఇంజెక్షన్ రక్షణ: 🟥️ కీలకమైన అమలు కోసం మానవీయ ధ్రువీకరణతో సహా ప్రాంప్ట్ ఇంజెక్షన్ దాడులను నిరోధించడానికి బహుళ-స్థాయి రక్షణ చర్యలను అమలు చేయండి.
- హానికరమైన సూచన గుర్తింపు: 🟥️ హానికరమైన వినియోగదారు సూచనలను గుర్తించడానికి మరియు నిరోధించడానికి యంత్రాంగాన్ని ఏర్పాటు చేయండి, సిస్టమ్‌ను తారుమారు చేయకుండా నిరోధించండి, స్థానిక ప్రారంభ సమయంలో ముందస్తుగా లోడ్ చేయబడిన హానికరమైన సూచనలను గుర్తించడం మరియు నిరోధించడం మరియు మూడవ పార్టీ MCP సర్వర్ నుండి వచ్చిన హానికరమైన సాధనాలు దాచిన హానికరమైన సూచనలను కలిగి ఉంటాయి.
- సిస్టమ్ ప్రాంప్ట్ రక్షణ: 🟥️ సిస్టమ్ ప్రాంప్ట్ మరియు వినియోగదారు ఇన్‌పుట్ స్పష్టంగా వేరు చేయబడతాయి, తారుమారుని నిరోధించండి.
- సున్నితమైన డేటా ఫిల్టరింగ్: 🟥️ ప్రాంప్ట్‌లు మరియు సందర్భం నుండి సున్నితమైన వ్యక్తిగత డేటాను ఫిల్టర్ చేయండి.
- సందర్భ వేరుచేయడం: 🔶 విభిన్న మూలాల నుండి వచ్చిన సందర్భ విషయాలు ఒకదానికొకటి వేరు చేయబడ్డాయని నిర్ధారించుకోండి, సందర్భ కాలుష్యం మరియు సమాచారం లీక్‌ను నిరోధించండి.
- ప్రాంప్ట్ టెంప్లేట్‌లు: 🔶 ఇంజెక్షన్ ప్రమాదాన్ని తగ్గించడానికి సురక్షితమైన ప్రాంప్ట్ టెంప్లేట్‌లను ఉపయోగించండి.
- టూల్ వివరణ ధ్రువీకరణ: 🔶 టూల్ వివరణలో సంభావ్య హానికరమైన సూచనలను తనిఖీ చేయండి.
- ప్రాంప్ట్ స్థిరత్వ ధ్రువీకరణ: 🔶 ఒకే ప్రాంప్ట్ విభిన్న పరిసరాలలో ఊహించదగిన స్థిరమైన ఫలితాలను ఉత్పత్తి చేస్తుందని నిర్ధారించుకోండి.
- చారిత్రక సందర్భ నిర్వహణ: 🔶 పాత డేటా పేరుకుపోవడం వల్ల కలిగే సమాచార లీకేజ్ ప్రమాదాన్ని నిరోధించడానికి చారిత్రక సందర్భం యొక్క సురక్షిత శుభ్రపరిచే యంత్రాంగాన్ని స్పష్టం చేయండి.
లాగ్‌లు మరియు ఆడిట్
- క్లయింట్ లాగ్ రికార్డింగ్: 🟥️ MCP సేవతో అన్ని పరస్పర చర్యలు, టూల్ కాల్స్ మరియు అధికారిక కార్యాచరణను రికార్డ్ చేయండి.
- భద్రతా సంఘటన రికార్డింగ్: 🟥️ అధికారం వైఫల్యం సహా అన్ని భద్రతకు సంబంధించిన సంఘటనలను రికార్డ్ చేయండి.
- అసాధారణ హెచ్చరిక: 🔶 అసాధారణ కార్యాచరణ నమూనాలను గుర్తించండి మరియు హెచ్చరించండి.
సర్వర్ ధ్రువీకరణ మరియు కమ్యూనికేషన్ భద్రత
- సర్వర్ ప్రమాణీకరణ: 🟥️ హానికరమైన సర్వర్‌కు కనెక్ట్ అవ్వకుండా MCP సర్వర్ గుర్తింపును ధృవీకరించండి, సర్టిఫికేట్ ఫిక్సింగ్‌ను అమలు చేయండి.