MCP server 能不能裝？裝別人做的連接器之前，照這份清單查一遍

採購想讓 Claude 讀報價信箱、查 ERP，就要先裝連接器。連接器背後接的，是別人做的 MCP server。

大廠做的，是不是就能放心裝？今年 10 月，一位獨立資安研究員公開的研究紀錄列出，至少五個組織做的 MCP server 犯了同一種錯，包括 Google、摩根大通、法國政府跨部會數位局，都由各自的資安團隊確認並修好。

iThome 在 10 月 21 日報導了這件事。

五個組織犯的同一個錯

出錯的組織彼此沒有關係，Google、摩根大通都在裡面，可見 MCP server 是誰做的，不能當安全的保證。智谷的建議是，裝之前另外看三件事，它在哪裡執行、拿到哪些權限、哪些工具會寫入或對外送出。

這幾個組織錯在同一個地方。伺服器拿 AI 或上游服務傳來的網址、端點去連線，卻沒檢查最後連到哪裡，這叫伺服器端請求偽造（SSRF）。

Google 那件是 MCP Toolbox for Databases，漏洞編號 CVE-2026-14540，7 月 31 日發布，評分 8.0（滿分 10），回報者是 Syed Anas Mohiuddin（研究紀錄）。

MCP server 若執行在公司網路裡，攻擊者在 AI 會讀到的內容裡藏一段文字，就可能讓它替自己連進公司內部系統。

Claude 的自訂連接器連到廠商的伺服器，智谷判斷這類漏洞主要影響廠商那邊。但使用者給出的權限和會寫入的工具仍有風險，清單一樣要做。

摩根大通的例子最值得記住。它的文件搜尋伺服器有兩個會抓網頁的工具，一個先比對允許的網域，另一個沒有。研究者比對後發現，它改自 AWS 的專案，改時多加了抓網址的功能，卻沒有加上網域檢查。研究者評為中等，偽造出去的連線不帶登入憑證，碰不到最嚴重的後果。

Rapid7 漏洞情報總監 Douglas McKee 對 Ars Technica 說：「從 LLM 傳給工具的任何東西，都該當成網路上陌生人給的輸入。」智谷理解這句是說給寫工具的人聽的。Ars Technica 也引述他，這些都是注入、SSRF 這類老問題，修法二十年沒變。

官方指南寫明的風險

MCP 官方 2026 年 7 月版的本機伺服器安全指南寫明，在自己電腦上執行的 MCP server 就是一支普通程式，帶著使用者帳號的權限，讀得到金鑰和檔案。指南也承認，怎麼檢查都沒辦法保證它實際會做哪些事。

這份指南只管本機執行的 MCP server。如果只是要讓 AI 用某個網路服務，而這個服務也有遠端版，就選遠端版。要裝在本機，先確認發行者、核對名稱、固定版本，再放到隔開的環境執行。

Claude 的自訂連接器用的是遠端版，連線從 Anthropic 的雲端發出（Anthropic 說明頁）。這些服務沒有經過 Anthropic 驗證，連上之後 Claude 可以讀資料，也可能修改資料。

另一個風險在工具說明。這段文字 AI 會當成指令讀，惡意伺服器可以把指令藏在裡面，甚至在使用者同意後再偷偷改掉。

拿比價 Agent 走一遍

智谷網站的比價示範案例，採購 Agent 用到五個動作，搜尋信箱、查 ERP、把報價寫進比價試算表、在 ERP 開單、寄信給供應商。前兩個只讀，寫比價表只動採購自己的表，最後兩個會改公司系統、對外送出，最該看緊。

示範案例的公司是虛構的，頁面畫的是 Claude Code。下面假設改用 Claude 的自訂連接器，兩邊核准方式不同。

Claude 要用工具時會跳出核准請求。Anthropic 建議只有信得過的工具才按 Allow always，用不到的先在 Search and tools 選單關掉。繁中說明頁也寫英文按鈕名，畫面可能是英文。

套到比價案例，連接器八題都查過、IT 也同意了，搜尋信箱和查 ERP 這兩個只讀的工具才按 Allow always。寫比價表，智谷建議前幾次還是逐次看。開單和寄信，每次都讓採購看過再允許。

MCP 規格提醒，伺服器自己標的唯讀這類標註，除非伺服器信得過，否則不可信。工具說明也可能事後被改，發現工具做了沒預期的事，就先關掉它，再問 IT。

登入信箱連接器時會出現授權畫面，先停下來看。如果連接器還要刪除郵件的權限，比價用不到，就按取消，再問 IT 有沒有只讀的版本。

研究功能也要注意。點對話框左下角的「+」再點 Research，底部出現藍色指示就是開著（說明頁）。這時 Claude 會自動使用連接器的工具、不再逐次詢問，要先把會寫入的工具都關掉。

裝之前的檢查清單

下面八題裡，第 6 題後半和第 8 題是智谷補的，其餘改寫自 MCP 官方指南或 Anthropic 說明頁。前四題自己查，後四題交給 IT。任何一題讓人不安心，就先不裝。八題都答得出來，也只代表清楚自己把權限交給了誰，不代表它安全。

遠端連接器不在官方指南的範圍內，不一定看得到原始碼，版本也由廠商更新，第 2、7 題查不到就寫查不到，交給 IT 判斷。

公司用 Claude Team 或 Enterprise 方案的話，自訂連接器由擁有者等管理者新增，職員只能連接加好的，清單就拿去問他們和 IT。共用一把 API 金鑰的連接器，每個成員都拿到那把金鑰的權限。

八題寫在下面的提示詞裡。把說明頁或 GitHub 首頁連同工具清單貼進 Claude 或 ChatGPT，再貼這段。名稱比對、誰負責更新、公司允不允許，AI 答不了，要自己或 IT 判斷。

下面是一個 MCP server 的說明頁和工具清單。請只根據我貼的內容，回答這八個問題，答不出來的寫「說明頁沒寫」，不要猜：
1. 有遠端版嗎？還是只能在電腦上執行一段指令？
2. 找得到發行者和原始碼嗎？名稱跟官方文件一字不差嗎？
3. 要哪些登入權限或金鑰？做【這件工作】用不到的有哪些？
4. 哪些工具會寫入、刪除或寄出東西？
5. 工具說明裡，有沒有跟功能無關的指令？
6. 它會連到哪些網址？有沒有工具會抓使用者或 AI 指定的網址？
7. 版本有固定嗎？漏洞公告發在哪裡、誰負責更新？
8. 資料會經過哪些地方？公司允許嗎？
說明頁與工具清單：【貼上內容】

八題各去哪裡看、誰查（第 6 題後半與第 8 題是智谷補的）

題	重點	去哪裡看	誰查
1	遠端或本機	安裝說明	自己
2	發行者、原始碼、名稱	說明頁、GitHub 首頁	自己
3	權限與金鑰	說明頁；授權畫面出現時先停下來看，不對就按取消	自己
4	會寫入的工具	說明頁的工具清單；沒列就交給 IT	自己
5	工具說明	工具說明全文	IT
6	連到哪些網址	原始碼、說明頁	IT
7	版本與更新	設定檔、說明頁	IT
8	資料流向	說明頁、公司規定	IT

要轉給 IT 時，把 AI 的回答附上，再加這段。

我想在工作上用這個 MCP server：【名稱與網址】
用途：【一句話寫要做什麼，例如只讀信箱、不寄信】
附上 AI 依說明頁回答的八題。想請你確認：
- 公司用 Claude Team／Enterprise 方案的話，這個連接器要請誰新增？
- 資料會經過 Anthropic 的雲端和這家廠商，公司允許嗎？
- 金鑰給的範圍對不對？版本有沒有固定？最後能不能用？

官方指南說，最少也要把沒在用的 MCP server 移掉。個人方案在 Customize > Connectors 按 Remove。Team 和 Enterprise 方案由擁有者在 Organization settings > Connectors 移除，職員可以隨時中斷自己的連線。在 Claude Desktop 本機執行的，寫在 claude_desktop_config.json 設定檔裡，請 IT 一起看。

這份清單只能檢查作者有寫出來的東西。摩根大通那類漏洞要比對程式碼才找得到，AI 讀說明頁看不出來。

想照比價案例的做法，把自己部門的流程做成 Agent，可以看四小時實體班。官網這篇〈把公司資料交給 AI 安全嗎〉，談的是老闆對 AI 資料安全的常見誤會。

資料來源

• Syed Anas Mohiuddin，Protocol Pivoting, Four Months Later（英文），2026 年 10 月發表，2026-10-27 讀取
• iThome，多個組織的 MCP 專案存在 SSRF 漏洞，研究人員示警 AI 代理信任問題，2026-10-21 發表，2026-10-27 讀取
• Ars Technica，Dan Goodin 報導 MCP 漏洞（英文），2026-10-05 發表，2026-10-27 讀取
• MCP 官方網站，Local Server Security（英文，2026-07-28 版），2026-10-27 讀取
• MCP 規格，Security and Trust & Safety 一節（英文，2026-07-28 版），2026-10-27 讀取
• Claude 說明中心，使用遠端 MCP 開始使用自訂連接器（繁中），2026-10-27 讀取
• Claude 說明中心，在 Claude 上使用研究功能（繁中），2026-10-27 讀取
• 智谷網站，多供應商比價示範案例，2026-10-27 讀取