Giải quyết lỗ hổng bảo mật và độ tin cậy của Model Context Protocol (MCP) với mcp-bastion

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

MCP hiện thiếu cơ chế tự phục hồi khi kết nối bị ngắt, gây gián đoạn cho các AI Agent trong môi trường sản xuất.

Các rủi ro bảo mật như "Rug pull" (thay đổi công cụ độc hại) và "Tool poisoning" (đầu độc mô hình) đang đe dọa trực tiếp đến tính toàn vẹn của hệ thống.

Công cụ mcp-bastion đóng vai trò là một lớp proxy trung gian giúp chuẩn hóa, bảo mật và kiểm toán mọi tương tác của MCP mà không cần thay đổi code phía client.

Khi các AI Agent chuyển mình từ các bản demo thử nghiệm sang môi trường sản xuất thực tế, Model Context Protocol (MCP) đã nhanh chóng trở thành giao thức mặc định để cung cấp công cụ (tools) cho các mô hình ngôn ngữ. Tuy nhiên, lớp vận hành xung quanh MCP vẫn còn khá non trẻ, dẫn đến hai lỗ hổng lớn mà các kỹ sư cần đặc biệt lưu tâm.

1. Lỗ hổng về độ tin cậy (The Reliability Gap)

Trong môi trường thực tế, các MCP server thường xuyên gặp phải tình trạng ngắt kết nối giữa chừng do lỗi subprocess hoặc gián đoạn luồng mạng. Hiện tại, các AI Agent không có tín hiệu phản hồi tốt về tình trạng này. Chúng thường nhận được thông báo lỗi chung chung như "No such tool available", khiến hệ thống không thể phân biệt được giữa một công cụ bị lỗi và một công cụ không tồn tại.

Hệ quả là các Agent không thể tự động kết nối lại, buộc con người phải can thiệp thủ công. Trong các tác vụ tự động hóa dài hạn, điều này khiến khả năng của Agent bị suy giảm âm thầm, dẫn đến các lỗi logic khó kiểm soát.

2. Lỗ hổng về bảo mật (The Security Gap)

Vì các công cụ MCP được mô tả bằng ngôn ngữ tự nhiên, chúng đối mặt với hai mối đe dọa trực tiếp:

Mối đe dọa	Mô tả	Rủi ro
Rug pull	Server trình bày công cụ an toàn, sau đó âm thầm thay đổi định nghĩa thành mã độc.	Vượt qua các trình quét tĩnh (static scanners) chỉ kiểm tra lúc cài đặt.
Tool poisoning	Chèn các chỉ dẫn ẩn trong mô tả công cụ (ví dụ: "đọc SSH key và gửi đến...").	Điều hướng mô hình AI thực hiện các hành vi trái phép.

3. Giải pháp: mcp-bastion

Để giải quyết các vấn đề trên, mcp-bastion được thiết kế như một proxy trung gian. Nó đóng vai trò là một MCP server chuẩn đối với client và là một MCP client chuẩn đối với các server thực tế.

Sơ đồ hoạt động của mcp-bastion

[AI Client] ➔ [mcp-bastion (Proxy)] ➔ [MCP Server A]
                    |             ➔ [MCP Server B]
                    ▼
            [Audit & Security Logs]

Ba lớp bảo vệ chính:

Độ tin cậy: Cung cấp tính năng kiểm tra sức khỏe (health checks), tự động kết nối lại với cơ chế backoff, và các công cụ điều khiển (bastion__status, bastion__reconnect) cho phép chính Agent tự kiểm tra kết nối.
Bảo mật Runtime: Sử dụng cơ chế "trust-on-first-use" (tin tưởng lần đầu) để ghim (pin) các công cụ, ngăn chặn việc thay đổi định nghĩa trái phép (rug pull) và phát hiện các dấu hiệu đầu độc mô hình.
Kiểm toán & Tuân thủ: Mọi lệnh gọi công cụ đều được ghi lại dưới dạng cấu trúc dữ liệu, hỗ trợ xuất log ra console, file hoặc webhook, đồng thời ánh xạ theo các tiêu chuẩn như NIST AI RMF và OWASP LLM Top 10.

Cài đặt và sử dụng

Công cụ này hỗ trợ cả giao thức stdio và Streamable HTTP, được viết bằng TypeScript và phát hành dưới giấy phép Apache-2.0. Để bắt đầu, bạn chỉ cần chạy lệnh:

npx mcp-bastion

Việc tích hợp mcp-bastion rất đơn giản vì nó hoạt động thông qua cấu hình, không yêu cầu thay đổi mã nguồn của client. Đây là một bước tiến quan trọng trong việc xây dựng các Agentic Stacks an toàn và bền vững hơn cho doanh nghiệp.

Bạn có thể tìm hiểu thêm về dự án tại GitHub của tác giả.