Chuyển đến nội dung chính
Một MCP agent là một agent có tầm với. Mỗi Model Context Protocol server nó kết nối tới là một tập tool, thông tin xác thực, và đích đến mạng mới mà không ai xem xét — và agent có thể kéo vào một cái mới giữa chừng lần chạy. Công thức này cho thấy bốn động tác biến một thiết lập MCP lan man thành một thiết lập được quản lý trên gateway được lưu trữ: một MCP gateway được audit duy nhất, quarantine skill, deny egress, và auth server được mã hóa. Bạn cấu hình tất cả từ console (hoặc REST API) đối với workspace của mình. Agent của bạn vẫn nói MCP y như trước.

​
1. Tại sao bảo mật một MCP agent

Trỏ một agent vào năm MCP server trực tiếp và bạn có năm ranh giới tin cậy, năm kho thông tin xác thực, và zero audit trail chung. tools/call đọc một bản ghi khách hàng và cái chạy một lệnh shell trông giống hệt nhau với mô hình, và một community server có thể âm thầm yêu cầu shell.exec và một phạm vi mạng bên ngoài ở lần đầu tiên nó nạp. Cách sửa là biến OrcaRouter thành điểm nghẽn duy nhất mà mọi cuộc gọi vượt qua. Để bảo mật mcp agent traffic từ đầu đến cuối, bạn định tuyến mọi dispatch MCP qua MCP gateway của Firewall, nên mọi tools/call được đánh giá chính sách trước khi nó đến server thực — với skill được chấm điểm rủi ro, egress được quản lý, và thông tin xác thực được mã hóa lúc nghỉ.
Đây là một công thức — nó khâu các tính năng hiện có thành một lượt gia cố cụ thể. Để có tham chiếu đầy đủ, theo các liên kết vào Firewall, MCP servers, và Skills.

​
2. Bắt đầu từ baseline Secure Agents

Trước khi soạn bất cứ thứ gì riêng biệt, hãy đặt một tư thế. Trong console mở Firewall → Posture và áp dụng cấp độ tự chủ balanced autonomy level (vai trò Developer). Trong một transaction nó audit các cuộc gọi tool và gắn cờ PII trong khi deny các hành động phá hủy nhất — bạn quan sát trước khi thực thi rộng rãi, với hoàn tác một cú nhấp. Khi các feed Events và Runs trông đúng, chuyển sang tight: default-deny, shell phá hủy bị deny, egress dạng SSRF bị deny, cộng với các guardrail PII Shield và Secrets Blocker được thực thi. Công tắc duy nhất đó là tầng sàn mà công thức này xây dựng lên.
Thích tăng dần mà không lật cả workspace? Soạn các quy tắc bên dưới vào một chính sách có tên và bật shadow mode của nó — nó đánh giá và ghi log nhưng hạ cấp mọi verdict thực thi thành audit (lý do tiền tố [shadow] would …) cho đến khi bạn chắc chắn. Xem chế độ thực thi.

​
3. Định tuyến mọi tools/call qua một MCP gateway

Đăng ký mỗi MCP server một lần; gateway tổng hợp các tool của chúng dưới một kết nối duy nhất (đặt namespace <server>.<tool>) và chạy mọi tools/call qua engine firewall. Đăng ký một server từ console (hoặc REST API, Developer+): 
curl https://api.orcarouter.ai/api/workspace/firewall/mcp_servers \
  -H "Authorization: Bearer <your-session-token>" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "github",
    "endpoint": "https://api.githubcopilot.com/mcp",
    "auth_mode": "bearer",
    "auth_json": "{\"token\":\"ghp_x\"}",
    "enabled": true
  }'
Rồi trỏ MCP client của bạn vào gateway — không phải các server thượng nguồn — dùng một key chuyên dụng có phạm vi firewall-gateway: 
https://api.orcarouter.ai/api/v1/firewall/mcp
Giờ github.create_issue và shell.exec hiện ra cạnh nhau dưới một kết nối, và mỗi dispatch được đánh giá trước khi chạy. Một cuộc gọi bị block quay lại với mô hình như một lỗi tool (firewall deny: …), không phải một crash truyền tải, nên agent có thể thích nghi.
Một relay key thông thường nhận 403 trên route gateway /api/v1/firewall/mcp. Phát hành một gateway token chuyên dụng (is_firewall_gateway) cho kết nối MCP; đọc plaintext của gateway key đó yêu cầu Admin+.
Trước khi bạn có thể viết quy tắc đối với các tool của một server, probe nó để khám phá tên và schema của chúng: 
curl -X POST \
  https://api.orcarouter.ai/api/workspace/firewall/mcp_servers/42/probe \
  -H "Authorization: Bearer <your-session-token>"

​
4. Quarantine các skill mà agent kéo vào

MCP gateway quản lý cuộc gọi; quản trị skill quản lý các khả năng mà một agent nạp. Mọi skill có thể cài đặt, MCP server BYO, hoặc plugin đều được quét vào một dải rủi ro và một chế độ thực thi cưỡi lên trên mọi verdict quy tắc:
Chế độHiệu lực lúc runtime
allowVerdict quy tắc quyết định; skill không thêm gì.
quarantineBất cứ thứ gì thấp hơn deny đều bị giữ lại cho pending_approval.
blockCác tool của skill bị force-deny.
Điểm cốt lõi cho một MCP agent: một khả năng mà không ai phê duyệt thì không được đi qua miễn phí. Khi một agent tự cài thứ gì đó và các tool của nó lần đầu vượt qua gateway, Firewall tự động phát hiện và quarantine nó cho đến khi một con người xem xét — ngay cả khi nó quét sạch. Phê duyệt trước các server bạn tin tưởng; để phần còn lại rơi vào hàng đợi xem xét.
Giữ balanced/observe bật trong khi bạn học những gì agent của bạn thực sự cài đặt, rồi thăng cấp các skill đáng tin lên allow và để cái đuôi dài bị quarantine. Xem Skills.

​
5. Deny egress dạng SSRF

Một MCP tool bị xâm phạm hoặc nhầm lẫn vươn tới cloud-metadata hoặc một host intranet là đường exfiltration kinh điển. Hai lớp bao phủ nó. Đầu tiên, gateway kiểm chứng mọi MCP endpoint từ xa và IP quay số đã phân giải của nó đối với một chính sách SSRF khi đăng ký và trên mỗi bước dispatch — các dải intranet và địa chỉ cloud-metadata bị từ chối, kiểm tra lại để đánh bại DNS rebinding. Cái đó được tích hợp sẵn; bạn không cấu hình nó. Thứ hai, cấp độ tự chủ tight cung cấp một preset egress SSRF deny các tên tool dạng fetch — http_fetch, web_search, fetch_url, request, và các dạng được đặt namespace <server>.* của chúng — nên một tool mà cả công việc của nó là “đi fetch URL này” bị dừng trước khi nó quay số. Để quản lý nơi các tool có thể vươn tới theo đích đến, soạn quy tắc egress của riêng bạn với một danh sách deny host/CIDR — đó là bề mặt để ghim tầm với đi ra ngoài: 
// firewall rule, egress stage — deny outbound to an internal range.
// egress_json is a JSON *string*: {"deny":[…],"allow":[…]} of hosts/CIDRs.
{
  "stage": "egress",
  "verdict": "deny",
  "egress_json": "{\"deny\":[\"10.0.0.0/8\",\"169.254.169.254\"]}"
}
Không preset nào cung cấp các quy tắc egress CIDR — preset SSRF khớp tên tool, không phải đích đến. Tự soạn danh sách deny host/CIDR khi bạn cần kiểm soát ở cấp đích đến. Xem danh sách egress và stop exfiltration.

​
6. Giữ thông tin xác thực server được mã hóa

auth_json của mỗi MCP server được mã hóa lúc nghỉ và bị che khi đọc; gateway tiêm thông tin xác thực tại thời điểm dispatch, nên chúng không bao giờ đến được mô hình hoặc client. Các giá trị auth_mode được hỗ trợ:
{ "token": "…" } — một bearer token tĩnh, gửi như Authorization: Bearer.
{ "client_id": "…", "client_secret": "…", "token_url": "…" } — client-credentials OAuth; gateway fetch và làm mới token.
{ "username": "…", "password": "…" } — HTTP Basic auth.
"" — một server không xác thực. Mặc định.
Khi đọc, secret bị che; phản chiếu lại mask khi cập nhật để giữ giá trị đã lưu. status của server (ok / degraded / down) từ probe gần nhất cho bạn biết liệu nó có thể tiếp cận trước khi bạn phụ thuộc vào nó.

​
7. Thêm một content guardrail trên request

Firewall quản lý hành động; ghép nó với một Guardrail để văn bản chảy qua MCP agent của bạn cũng được sàng lọc. Preset Secrets Blocker bắt thông tin xác thực trong một request trước khi mô hình — hoặc bất kỳ tool nào — từng thấy chúng, và một PII Shield mask các định danh trên đường vào. Cả hai bật cùng cấp độ tự chủ tight, hoặc gắn một guardrail có tên vào relay key của agent qua guardrail_id.
Verdict sanitize của firewall redact argument của cuộc gọi tool, không bao giờ là nội dung mà một tool trả về. Loại bỏ secret khỏi request với guardrail Secrets Blocker; sanitize các argument mà một agent phát ra với một quy tắc firewall. Chúng bao phủ các nửa khác nhau của luồng.

​
8. Kiểm chứng và theo dõi

Xác nhận chính sách làm những gì bạn mong đợi trước khi bạn tin nó, rồi để mắt tới các feed:

Test một cuộc gọi tool

Dry-run một tools/call mẫu đối với chính sách của bạn và xem verdict, quy tắc đã khớp, và lý do — không có gì được dispatch, không có gì được ghi log.

Discovered tools

Mọi tool mà workspace đã thấy, gắn cờ covered hoặc gap — soạn quy tắc thẳng từ traffic MCP thực.

Events & Runs

Mọi dispatch, verdict của nó, và bề mặt nó chạm tới, gộp theo mỗi lần chạy agent.

Feed bất thường

Spike tốc độ/chi phí, vòng lặp retry, và các đường tool mới đối với một baseline đã học.

​
9. Đi tiếp ở đâu

MCP tool poisoning

Mô hình đe dọa đằng sau quarantine và MCP gateway.

Excessive agency

Tại sao default-deny và HITL quan trọng cho việc dùng tool tự chủ.

Công thức autonomous agent

Gia cố một agent tự chủ cao từ đầu đến cuối.

Dừng exfiltration

Khóa chặt egress đi ra ngoài chuyên sâu.