Bảo mật MCP: bảo vệ toàn diện cho hệ thống AI

Bảo mật là nền tảng của thiết kế hệ thống AI, vì vậy khoá gốc đặt nó ở phần thứ hai. Điều này phù hợp với nguyên tắc Secure by Design của Microsoft trong Secure Future Initiative.

Video bài học (tiếng Anh): xem trên YouTube.

Model Context Protocol (MCP) mang tới những khả năng (capability) mới mạnh mẽ cho ứng dụng AI, đồng thời đặt ra các thách thức bảo mật riêng vượt ngoài rủi ro phần mềm truyền thống. Hệ thống MCP phải đối mặt cả với các mối lo bảo mật đã biết (lập trình an toàn, quyền tối thiểu, an ninh chuỗi cung ứng) lẫn các mối đe doạ mới đặc thù AI như prompt injection, tool poisoning, chiếm phiên (session hijacking), tấn công confused deputy, lỗ hổng token passthrough và thay đổi capability động.

Bài này xem xét các rủi ro bảo mật nghiêm trọng nhất trong phần cài đặt MCP: xác thực, phân quyền, quyền quá mức, prompt injection gián tiếp, bảo mật phiên, vấn đề confused deputy, quản lý token và lỗ hổng chuỗi cung ứng. Bạn sẽ học các biện pháp kiểm soát và best practice cụ thể để giảm thiểu các rủi ro này, tận dụng các giải pháp của Microsoft như Prompt Shields, Azure Content Safety và GitHub Advanced Security.

Mục tiêu học tập

Sau bài này, bạn sẽ có thể:

• Nhận diện mối đe doạ đặc thù MCP: prompt injection, tool poisoning, quyền quá mức, chiếm phiên, confused deputy, token passthrough và rủi ro chuỗi cung ứng.
• Áp dụng biện pháp kiểm soát: xác thực vững chắc, truy cập quyền tối thiểu, quản lý token an toàn, kiểm soát bảo mật phiên và kiểm chứng chuỗi cung ứng.
• Tận dụng giải pháp bảo mật của Microsoft: hiểu và triển khai Microsoft Prompt Shields, Azure Content Safety và GitHub Advanced Security để bảo vệ workload MCP.
• Kiểm chứng bảo mật của tool: hiểu tầm quan trọng của việc kiểm tra metadata tool, giám sát thay đổi động và phòng chống prompt injection gián tiếp.
• Kết hợp best practice: kết hợp nền tảng bảo mật đã biết (lập trình an toàn, gia cố server, zero trust) với các biện pháp riêng cho MCP.

Kiến trúc và biện pháp kiểm soát bảo mật MCP

Phần cài đặt MCP hiện đại cần bảo mật nhiều lớp, xử lý cả bảo mật phần mềm truyền thống lẫn mối đe doạ đặc thù AI. Đặc tả MCP thay đổi nhanh và liên tục hoàn thiện các biện pháp bảo mật, giúp tích hợp tốt hơn với kiến trúc bảo mật doanh nghiệp và các best practice đã có.

Nghiên cứu trong Microsoft Digital Defense Report cho thấy 98% vụ xâm phạm được báo cáo có thể ngăn được nhờ vệ sinh bảo mật tốt. Chiến lược bảo vệ hiệu quả nhất kết hợp các thực hành bảo mật nền tảng với biện pháp riêng cho MCP; các biện pháp bảo mật cơ bản đã được chứng minh vẫn là thứ giảm rủi ro tổng thể nhiều nhất.

Bối cảnh bảo mật hiện tại

Workshop MCP Security Summit (Sherpa)

Để thực hành bảo mật, khoá gốc rất khuyến nghị MCP Security Summit Workshop (Sherpa), một "cuộc thám hiểm" có hướng dẫn đầy đủ để bảo mật MCP server trên Microsoft Azure.

Tổng quan workshop

MCP Security Summit Workshop cung cấp đào tạo bảo mật thực tế theo phương pháp "có lỗ hổng → khai thác → sửa → kiểm chứng". Bạn sẽ:

• Học bằng cách phá: trải nghiệm trực tiếp lỗ hổng bằng cách khai thác các server cố ý không an toàn.
• Dùng bảo mật gốc của Azure: tận dụng Azure Entra ID, Key Vault, API Management và AI Content Safety.
• Theo chiến lược phòng thủ nhiều lớp: đi qua các "trại", xây dần các lớp bảo mật toàn diện.
• Áp dụng chuẩn OWASP: mỗi kỹ thuật đều ánh xạ tới OWASP MCP Azure Security Guide.
• Có code production: mang về các bản cài đặt chạy được, đã kiểm thử.

Lộ trình

Bắt đầu: https://azure-samples.github.io/sherpa/

OWASP MCP Top 10

OWASP MCP Azure Security Guide trình bày chi tiết mười rủi ro bảo mật nghiêm trọng nhất của phần cài đặt MCP:

Sự phát triển của xác thực trong MCP

Đặc tả MCP đã thay đổi đáng kể trong cách tiếp cận xác thực và phân quyền:

• Cách ban đầu: các đặc tả đầu yêu cầu lập trình viên tự cài đặt authentication server; MCP server đóng vai OAuth 2.0 Authorization Server, tự quản lý xác thực người dùng.
• Chuẩn hiện tại (2026-07-28): MCP server có thể uỷ thác xác thực cho nhà cung cấp định danh bên ngoài như Microsoft Entra ID. Client cũng phải áp dụng các yêu cầu hiện tại về kiểm tra issuer và gắn credential.
• Bảo mật tầng truyền tải: hỗ trợ tốt hơn các cơ chế truyền tải an toàn với mẫu xác thực phù hợp cho cả kết nối local (STDIO) lẫn từ xa (Streamable HTTP).

Bảo mật xác thực và phân quyền

Rủi ro và hướng tấn công

Phần cài đặt MCP hiện đại gặp một số thách thức về xác thực và phân quyền:

• Logic phân quyền cấu hình sai: phân quyền cài đặt lỗi trong MCP server có thể làm lộ dữ liệu nhạy cảm và áp dụng sai kiểm soát truy cập.
• Token OAuth bị xâm phạm: token của MCP server local bị đánh cắp cho phép kẻ tấn công mạo danh server và truy cập các dịch vụ phía sau.
• Lỗ hổng token passthrough: xử lý token sai làm vô hiệu hoá các biện pháp bảo mật và gây khoảng trống về trách nhiệm.
• Quyền quá mức: MCP server có quá nhiều quyền vi phạm nguyên tắc quyền tối thiểu và mở rộng bề mặt tấn công.

Token passthrough: một anti-pattern nghiêm trọng

Token passthrough bị cấm rõ ràng trong đặc tả phân quyền MCP hiện tại vì hệ quả bảo mật nghiêm trọng:

• Vượt qua biện pháp bảo mật: MCP server và API phía sau cài đặt các biện pháp quan trọng (giới hạn tần suất, kiểm tra request, giám sát lưu lượng) dựa vào việc kiểm tra token đúng cách. Dùng token trực tiếp từ client tới API sẽ bỏ qua các lớp bảo vệ này, phá vỡ kiến trúc bảo mật.
• Khó trách nhiệm giải trình và audit: MCP server không phân biệt được các client dùng token do phía trên cấp, làm đứt dấu vết audit. Log của resource server phía sau hiển thị nguồn request gây hiểu nhầm thay vì MCP server trung gian thực sự. Điều tra sự cố và audit tuân thủ trở nên khó hơn nhiều.
• Rủi ro rò rỉ dữ liệu: claim của token không được kiểm tra cho phép kẻ có token bị đánh cắp dùng MCP server làm proxy để lấy dữ liệu. Vi phạm ranh giới tin cậy cho phép các kiểu truy cập trái phép vượt qua biện pháp bảo mật dự định.
• Tấn công lan sang nhiều dịch vụ: token bị xâm phạm được nhiều dịch vụ chấp nhận cho phép di chuyển ngang (lateral movement) giữa các hệ thống kết nối. Giả định tin cậy giữa các dịch vụ có thể bị vi phạm khi không xác minh được nguồn gốc token.

Biện pháp kiểm soát và giảm thiểu

Kiểm soát xác thực và phân quyền

• Rà soát phân quyền nghiêm ngặt: audit toàn diện logic phân quyền của MCP server để chỉ người dùng và client dự định mới truy cập được resource nhạy cảm.
  • Hướng dẫn cài đặt: Azure API Management as Authentication Gateway for MCP Servers
  • Tích hợp định danh: Using Microsoft Entra ID for MCP Server Authentication
• Quản lý token an toàn: áp dụng best practice của Microsoft về kiểm tra và vòng đời token:
  • Kiểm tra claim audience của token khớp định danh của MCP server.
  • Áp dụng chính sách xoay vòng và hết hạn token phù hợp.
  • Ngăn tấn công phát lại (replay) token và sử dụng trái phép.
• Lưu token được bảo vệ: mã hoá token cả khi lưu trữ lẫn khi truyền. Xem Secure Token Storage and Encryption Guidelines.

Cài đặt kiểm soát truy cập

• Nguyên tắc quyền tối thiểu: chỉ cấp cho MCP server quyền tối thiểu cần cho chức năng dự định. Rà soát và cập nhật quyền định kỳ để tránh quyền phình dần. Tài liệu Microsoft: Secure Least-Privileged Access.
• Kiểm soát truy cập dựa trên vai trò (RBAC): gán vai trò chi tiết, giới hạn chặt vào resource và hành động cụ thể; tránh quyền rộng hoặc không cần thiết làm mở rộng bề mặt tấn công.
• Giám sát quyền liên tục: audit và giám sát truy cập liên tục; theo dõi mẫu sử dụng quyền để phát hiện bất thường; nhanh chóng thu hồi quyền thừa hoặc không dùng.

Mối đe doạ bảo mật đặc thù AI

Prompt injection và tấn công thao túng tool

Phần cài đặt MCP hiện đại phải đối mặt các hướng tấn công tinh vi đặc thù AI mà biện pháp bảo mật truyền thống không xử lý hết.

Prompt injection gián tiếp (cross-domain prompt injection)

Prompt injection gián tiếp là một trong những lỗ hổng nghiêm trọng nhất của hệ thống AI dùng MCP. Kẻ tấn công nhúng chỉ dẫn độc hại vào nội dung bên ngoài (tài liệu, trang web, email hay nguồn dữ liệu) mà sau đó hệ thống AI xử lý như lệnh hợp lệ.

Kịch bản tấn công:

• Chèn qua tài liệu: chỉ dẫn độc hại ẩn trong tài liệu được xử lý, kích hoạt hành động ngoài ý muốn của AI.
• Khai thác nội dung web: trang web bị xâm phạm chứa prompt nhúng, thao túng hành vi AI khi bị thu thập.
• Tấn công qua email: prompt độc hại trong email khiến trợ lý AI làm lộ thông tin hoặc thực hiện hành động trái phép.
• Nhiễm bẩn nguồn dữ liệu: cơ sở dữ liệu hoặc API bị xâm phạm cung cấp nội dung bị nhiễm cho hệ thống AI.

Tác động thực tế: các cuộc tấn công này có thể dẫn tới rò rỉ dữ liệu, vi phạm quyền riêng tư, tạo nội dung độc hại và thao túng tương tác của người dùng. Phân tích chi tiết: Prompt Injection in MCP (Simon Willison).

Tấn công tool poisoning

Tool poisoning nhắm vào metadata định nghĩa tool MCP, khai thác cách LLM đọc mô tả và tham số tool để quyết định thực thi.

Cơ chế tấn công:

• Thao túng metadata: kẻ tấn công chèn chỉ dẫn độc hại vào mô tả tool, định nghĩa tham số hoặc ví dụ sử dụng.
• Chỉ dẫn vô hình: prompt ẩn trong metadata tool, được model AI xử lý nhưng người dùng không nhìn thấy.
• Thay đổi tool động ("rug pull"): tool đã được người dùng chấp thuận sau đó bị sửa để thực hiện hành động độc hại mà người dùng không biết.
• Chèn qua tham số: nội dung độc hại nhúng trong schema tham số của tool, ảnh hưởng tới hành vi model.

Rủi ro với server được host: remote MCP server có rủi ro cao hơn vì định nghĩa tool có thể được cập nhật sau khi người dùng chấp thuận lần đầu, khiến tool từng an toàn trở nên độc hại. Phân tích đầy đủ: Tool Poisoning Attacks (Invariant Labs).

Các hướng tấn công AI khác

• Cross-Domain Prompt Injection (XPIA): tấn công tinh vi dùng nội dung từ nhiều miền để vượt biện pháp bảo mật.
• Thay đổi capability động: thay đổi thời gian thực khả năng của tool, thoát khỏi đánh giá bảo mật ban đầu.
• Đầu độc cửa sổ ngữ cảnh (context window): thao túng cửa sổ ngữ cảnh lớn để giấu chỉ dẫn độc hại.
• Tấn công gây nhầm lẫn model: khai thác giới hạn của model để tạo hành vi khó đoán hoặc không an toàn.

Tác động của rủi ro bảo mật AI

Hậu quả nghiêm trọng:

• Rò rỉ dữ liệu: truy cập và đánh cắp trái phép dữ liệu nhạy cảm của doanh nghiệp hoặc cá nhân.
• Vi phạm quyền riêng tư: lộ thông tin định danh cá nhân (PII) và dữ liệu kinh doanh bí mật.
• Thao túng hệ thống: thay đổi ngoài ý muốn các hệ thống và quy trình quan trọng.
• Đánh cắp credential: xâm phạm token xác thực và credential dịch vụ.
• Di chuyển ngang: dùng hệ thống AI bị xâm phạm làm bàn đạp tấn công rộng hơn trong mạng.

Giải pháp bảo mật AI của Microsoft

AI Prompt Shields: bảo vệ nâng cao trước tấn công chèn

Microsoft AI Prompt Shields phòng thủ toàn diện trước cả prompt injection trực tiếp lẫn gián tiếp qua nhiều lớp bảo mật:

1. Phát hiện và lọc nâng cao: thuật toán machine learning và kỹ thuật NLP phát hiện chỉ dẫn độc hại trong nội dung bên ngoài; phân tích thời gian thực tài liệu, trang web, email và nguồn dữ liệu; hiểu ngữ cảnh để phân biệt mẫu prompt hợp lệ và độc hại.
2. Kỹ thuật spotlighting: phân biệt chỉ dẫn hệ thống đáng tin với đầu vào bên ngoài có thể bị xâm phạm; biến đổi văn bản để tăng mức liên quan cho model đồng thời cô lập nội dung độc hại; giúp hệ thống AI giữ đúng thứ bậc chỉ dẫn và bỏ qua lệnh bị chèn.
3. Hệ thống phân tách và đánh dấu dữ liệu (delimiter & datamarking): xác định rõ ranh giới giữa system message đáng tin và văn bản đầu vào bên ngoài; dấu đặc biệt làm nổi ranh giới giữa nguồn dữ liệu đáng tin và không đáng tin; phân tách rõ ràng ngăn nhầm lẫn chỉ dẫn và thực thi lệnh trái phép.
4. Thông tin mối đe doạ liên tục: Microsoft liên tục theo dõi các mẫu tấn công mới và cập nhật phòng thủ; chủ động săn tìm kỹ thuật chèn và hướng tấn công mới; cập nhật model bảo mật định kỳ.
5. Tích hợp Azure Content Safety: là một phần của bộ Azure AI Content Safety; phát hiện thêm các nỗ lực jailbreak, nội dung độc hại và vi phạm chính sách bảo mật; kiểm soát bảo mật thống nhất giữa các thành phần ứng dụng AI.

Tài liệu cài đặt: Microsoft Prompt Shields Documentation

Mối đe doạ bảo mật MCP nâng cao

Lỗ hổng chiếm phiên (session hijacking)

Chiếm phiên là hướng tấn công nghiêm trọng trong phần cài đặt MCP có trạng thái, khi bên trái phép lấy và lạm dụng session ID hợp lệ để mạo danh client và thực hiện hành động trái phép.

Kịch bản và rủi ro:

• Prompt injection qua phiên bị chiếm: kẻ tấn công có session ID bị đánh cắp chèn sự kiện độc hại vào các server dùng chung trạng thái phiên, có thể kích hoạt hành động có hại hoặc truy cập dữ liệu nhạy cảm.
• Mạo danh trực tiếp: session ID bị đánh cắp cho phép gọi trực tiếp MCP server, vượt qua xác thực, coi kẻ tấn công như người dùng hợp lệ.
• Luồng có thể nối lại bị xâm phạm: kẻ tấn công có thể kết thúc request sớm, khiến client hợp lệ nối lại với nội dung có thể độc hại.

Yêu cầu quan trọng cho quản lý phiên:

• Kiểm tra phân quyền: MCP server có cài đặt phân quyền PHẢI kiểm tra MỌI request tới và KHÔNG ĐƯỢC dựa vào phiên để xác thực.
• Tạo phiên an toàn: dùng session ID an toàn về mật mã, không tất định, sinh bằng bộ sinh số ngẫu nhiên an toàn.
• Gắn với người dùng cụ thể: gắn session ID với thông tin riêng của người dùng theo định dạng như <user_id>:<session_id> để ngăn lạm dụng phiên giữa các người dùng.
• Quản lý vòng đời phiên: hết hạn, xoay vòng và vô hiệu hoá phù hợp để thu hẹp khoảng thời gian dễ bị tấn công.
• Bảo mật truyền tải: bắt buộc HTTPS cho mọi giao tiếp để chống chặn bắt session ID.

Vấn đề confused deputy

Vấn đề confused deputy xảy ra khi MCP server đóng vai proxy xác thực giữa client và dịch vụ bên thứ ba, tạo cơ hội vượt phân quyền bằng cách khai thác client ID tĩnh.

Cơ chế và rủi ro:

• Vượt màn hình đồng ý qua cookie: lần xác thực trước của người dùng tạo cookie đồng ý, bị kẻ tấn công khai thác qua yêu cầu phân quyền độc hại với redirect URI được dựng sẵn.
• Đánh cắp authorization code: cookie đồng ý có sẵn có thể khiến authorization server bỏ qua màn hình đồng ý, chuyển code tới endpoint do kẻ tấn công kiểm soát.
• Truy cập API trái phép: authorization code bị đánh cắp cho phép đổi lấy token và mạo danh người dùng mà không cần chấp thuận rõ ràng.

Biện pháp bắt buộc:

• Yêu cầu đồng ý rõ ràng: MCP proxy server dùng client ID tĩnh PHẢI lấy sự đồng ý của người dùng cho từng client đăng ký động.
• Bảo mật OAuth 2.1: theo best practice bảo mật OAuth hiện tại, gồm PKCE (Proof Key for Code Exchange) cho mọi yêu cầu phân quyền.
• Kiểm tra client nghiêm ngặt: kiểm tra chặt redirect URI và định danh client để chống khai thác.

Lỗ hổng token passthrough

Token passthrough là anti-pattern rõ ràng: MCP server chấp nhận token của client mà không kiểm tra đúng cách và chuyển tiếp tới API phía sau, vi phạm đặc tả phân quyền MCP.

Hệ quả bảo mật: vượt qua kiểm soát (giới hạn tần suất, kiểm tra, giám sát); hỏng dấu vết audit vì không xác định được client; dùng server làm proxy để lấy dữ liệu trái phép; vi phạm ranh giới tin cậy của dịch vụ phía sau; mở rộng tấn công sang nhiều dịch vụ.

Yêu cầu không thể thương lượng:

• Kiểm tra token: MCP server KHÔNG ĐƯỢC chấp nhận token không được cấp riêng cho MCP server.
• Kiểm tra audience: luôn kiểm tra claim audience của token khớp định danh của MCP server.
• Vòng đời token phù hợp: dùng access token sống ngắn với cơ chế xoay vòng an toàn.

Bảo mật chuỗi cung ứng cho hệ thống AI

Bảo mật chuỗi cung ứng đã mở rộng ra ngoài dependency phần mềm truyền thống, bao trùm toàn bộ hệ sinh thái AI. Phần cài đặt MCP hiện đại phải kiểm chứng và giám sát nghiêm ngặt mọi thành phần liên quan AI, vì mỗi thành phần đều có thể mang lỗ hổng.

Các thành phần chuỗi cung ứng AI mở rộng

Dependency phần mềm truyền thống: thư viện và framework mã nguồn mở; container image và hệ thống nền; công cụ phát triển và pipeline build; thành phần và dịch vụ hạ tầng.

Thành phần chuỗi cung ứng đặc thù AI:

• Foundation model: model huấn luyện sẵn từ nhiều nhà cung cấp, cần kiểm chứng nguồn gốc.
• Dịch vụ embedding: dịch vụ vector hoá và tìm kiếm ngữ nghĩa bên ngoài.
• Nguồn ngữ cảnh: nguồn dữ liệu, kho tri thức và kho tài liệu.
• API bên thứ ba: dịch vụ AI, pipeline ML và endpoint xử lý dữ liệu bên ngoài.
• Thành phần model: trọng số, cấu hình và các biến thể đã fine-tuning.
• Nguồn dữ liệu huấn luyện: tập dữ liệu dùng để huấn luyện và fine-tuning model.

Chiến lược bảo mật chuỗi cung ứng toàn diện

• Kiểm chứng và tin cậy thành phần: kiểm chứng nguồn gốc, giấy phép và tính toàn vẹn của mọi thành phần AI trước khi tích hợp; quét lỗ hổng và rà soát bảo mật cho model, nguồn dữ liệu, dịch vụ AI; đánh giá lịch sử và thực hành bảo mật của nhà cung cấp; đảm bảo mọi thành phần đáp ứng yêu cầu bảo mật và pháp lý.
• Pipeline triển khai an toàn: tích hợp quét bảo mật xuyên suốt pipeline CI/CD tự động; xác minh mật mã cho mọi thành phần triển khai (code, model, cấu hình); triển khai theo giai đoạn với kiểm tra bảo mật ở mỗi bước; chỉ triển khai từ kho artifact đã xác minh, an toàn.
• Giám sát và phản ứng liên tục: theo dõi lỗ hổng liên tục cho mọi dependency phần mềm và AI; đánh giá liên tục hành vi model, độ lệch hiệu năng và bất thường bảo mật; theo dõi tình trạng, sự cố bảo mật và thay đổi chính sách của dịch vụ AI bên ngoài; tích hợp nguồn thông tin mối đe doạ riêng cho AI/ML.
• Kiểm soát truy cập và quyền tối thiểu: giới hạn truy cập model, dữ liệu, dịch vụ theo nhu cầu nghiệp vụ; dùng service account riêng với quyền tối thiểu; phân đoạn mạng để cô lập thành phần AI; dùng API gateway tập trung để kiểm soát và giám sát truy cập dịch vụ AI bên ngoài.
• Ứng phó sự cố và khôi phục: quy trình phản ứng nhanh để vá hoặc thay thành phần AI bị xâm phạm; hệ thống tự động xoay vòng secret, API key và credential dịch vụ; khả năng quay lại nhanh phiên bản ổn định trước đó; quy trình riêng khi dịch vụ AI phía trên bị xâm phạm.

Công cụ và tích hợp bảo mật của Microsoft

GitHub Advanced Security bảo vệ chuỗi cung ứng toàn diện:

• Secret Scanning: tự động phát hiện credential, API key và token trong repo.
• Dependency Scanning: đánh giá lỗ hổng của dependency và thư viện mã nguồn mở.
• CodeQL Analysis: phân tích code tĩnh để tìm lỗ hổng bảo mật và vấn đề code.
• Supply Chain Insights: nắm được tình trạng và bảo mật của dependency.

Tích hợp Azure DevOps và Azure Repos: tích hợp quét bảo mật liền mạch trên các nền tảng phát triển của Microsoft; kiểm tra bảo mật tự động trong Azure Pipelines cho workload AI; áp dụng chính sách để triển khai thành phần AI an toàn.

Thực hành nội bộ của Microsoft: Microsoft áp dụng rộng rãi các thực hành bảo mật chuỗi cung ứng cho mọi sản phẩm. Xem The Journey to Secure the Software Supply Chain at Microsoft.

Best practice bảo mật nền tảng

Phần cài đặt MCP kế thừa và xây trên nền bảo mật sẵn có của tổ chức. Củng cố các thực hành bảo mật nền tảng giúp tăng đáng kể mức an toàn tổng thể của hệ thống AI và MCP.

Nền tảng bảo mật cốt lõi

• Phát triển an toàn: chống các lỗ hổng ứng dụng web trong OWASP Top 10; áp dụng biện pháp cho OWASP Top 10 for LLMs; dùng vault riêng cho token, API key và cấu hình nhạy cảm; mã hoá đầu cuối mọi luồng giao tiếp và dữ liệu; kiểm tra nghiêm ngặt mọi đầu vào người dùng, tham số API và nguồn dữ liệu.
• Gia cố hạ tầng: bắt buộc xác thực đa yếu tố (MFA) cho mọi tài khoản quản trị và dịch vụ; vá kịp thời, tự động cho hệ điều hành, framework và dependency; quản lý định danh tập trung qua nhà cung cấp định danh doanh nghiệp (Microsoft Entra ID, Active Directory); phân đoạn mạng logic để hạn chế di chuyển ngang; quyền tối thiểu cho mọi thành phần và tài khoản.
• Giám sát và phát hiện: ghi log chi tiết hoạt động ứng dụng AI, gồm tương tác giữa MCP client và server; tích hợp SIEM để phát hiện bất thường tập trung; phân tích hành vi dùng AI để phát hiện mẫu bất thường; tích hợp nguồn thông tin mối đe doạ và chỉ dấu xâm phạm (IOC); quy trình rõ ràng để phát hiện, ứng phó và khôi phục sự cố.
• Kiến trúc Zero Trust: không bao giờ tin, luôn kiểm chứng người dùng, thiết bị và kết nối mạng; vi phân đoạn mạng để cô lập từng workload; chính sách dựa trên định danh đã xác minh thay vì vị trí mạng; đánh giá rủi ro liên tục theo ngữ cảnh và hành vi; truy cập có điều kiện thích ứng theo yếu tố rủi ro, vị trí và độ tin cậy thiết bị.

Mẫu tích hợp doanh nghiệp

• Hệ sinh thái bảo mật Microsoft: Microsoft Defender for Cloud (quản lý tư thế bảo mật cloud), Azure Sentinel (SIEM và SOAR gốc cloud), Microsoft Entra ID (quản lý định danh và truy cập với chính sách truy cập có điều kiện), Azure Key Vault (quản lý secret tập trung, có HSM), Microsoft Purview (quản trị dữ liệu và tuân thủ cho nguồn dữ liệu và quy trình AI).
• Tuân thủ và quản trị: đáp ứng yêu cầu tuân thủ theo ngành (GDPR, HIPAA, SOC 2); phân loại và xử lý đúng dữ liệu nhạy cảm mà hệ thống AI xử lý; ghi log đầy đủ cho tuân thủ và điều tra; áp dụng nguyên tắc privacy-by-design; quy trình chính thức rà soát bảo mật khi thay đổi hệ thống AI.

Các thực hành nền tảng này tạo nên mức bảo mật cơ sở vững chắc, giúp các biện pháp riêng cho MCP hiệu quả hơn và bảo vệ toàn diện ứng dụng AI.

Điểm chính về bảo mật

• Bảo mật nhiều lớp: kết hợp thực hành nền tảng (lập trình an toàn, quyền tối thiểu, kiểm chứng chuỗi cung ứng, giám sát liên tục) với biện pháp riêng cho AI.
• Mối đe doạ đặc thù AI: hệ thống MCP gặp các rủi ro riêng như prompt injection, tool poisoning, chiếm phiên, confused deputy, token passthrough và quyền quá mức, cần biện pháp chuyên biệt.
• Xác thực và phân quyền tốt: dùng nhà cung cấp định danh bên ngoài (Microsoft Entra ID), kiểm tra token đúng cách và không bao giờ chấp nhận token không được cấp riêng cho MCP server của bạn.
• Phòng chống tấn công AI: triển khai Microsoft Prompt Shields và Azure Content Safety để chống prompt injection gián tiếp và tool poisoning, đồng thời kiểm tra metadata tool và giám sát thay đổi động.
• Bảo mật phiên và truyền tải: dùng session ID an toàn về mật mã, không tất định, gắn với định danh người dùng; quản lý vòng đời phiên đúng cách; không bao giờ dùng phiên để xác thực.
• Best practice OAuth: ngăn confused deputy bằng đồng ý rõ ràng cho client đăng ký động, cài đặt OAuth 2.1 với PKCE và kiểm tra redirect URI nghiêm ngặt.
• Nguyên tắc bảo mật token: tránh anti-pattern token passthrough, kiểm tra claim audience, dùng token sống ngắn với xoay vòng an toàn và giữ ranh giới tin cậy rõ ràng.
• Bảo mật chuỗi cung ứng toàn diện: đối xử với mọi thành phần hệ sinh thái AI (model, embedding, nguồn ngữ cảnh, API bên ngoài) nghiêm ngặt như dependency phần mềm truyền thống.
• Liên tục cập nhật: theo kịp đặc tả MCP thay đổi nhanh, đóng góp cho chuẩn bảo mật cộng đồng và duy trì tư thế bảo mật thích ứng khi giao thức trưởng thành.
• Tích hợp bảo mật Microsoft: tận dụng hệ sinh thái bảo mật của Microsoft (Prompt Shields, Azure Content Safety, GitHub Advanced Security, Entra ID) để tăng cường bảo vệ MCP.

Tài nguyên

Tài liệu bảo mật MCP chính thức

• MCP Specification (Current: 2026-07-28)
• MCP Security Best Practices
• MCP Authorization Specification
• MCP GitHub Repository

Tài nguyên OWASP về bảo mật MCP

• OWASP MCP Azure Security Guide: OWASP MCP Top 10 kèm hướng dẫn cài đặt trên Azure
• OWASP MCP Top 10: danh sách rủi ro bảo mật MCP chính thức của OWASP
• MCP Security Summit Workshop (Sherpa): thực hành bảo mật MCP trên Azure

Chuẩn và best practice bảo mật

• OAuth 2.0 Security Best Practices (RFC 9700)
• OWASP Top 10 Web Application Security
• OWASP Top 10 for Large Language Models
• Microsoft Digital Defense Report

Nghiên cứu và phân tích bảo mật AI

• Prompt Injection in MCP (Simon Willison)
• Tool Poisoning Attacks (Invariant Labs)
• MCP Security Research Briefing (Wiz Security)

Giải pháp bảo mật của Microsoft

• Microsoft Prompt Shields Documentation
• Azure Content Safety Service
• Microsoft Entra ID Security
• Azure Token Management Best Practices
• GitHub Advanced Security

Hướng dẫn cài đặt

• Azure API Management as MCP Authentication Gateway
• Microsoft Entra ID Authentication with MCP Servers
• Secure Token Storage and Encryption (Video)

Bảo mật DevOps và chuỗi cung ứng

• Azure DevOps Security
• Azure Repos Security
• Microsoft Supply Chain Security Journey

Tài liệu bảo mật bổ sung trong khoá gốc

• CIMD and DCR Authorization Sample: resource server MCP 2026-07-28 bằng TypeScript chạy được, so sánh Client ID Metadata Documents (khuyến nghị) với Dynamic Client Registration (ngừng khuyến nghị, dùng dự phòng)
• MCP Security Best Practices: best practice bảo mật đầy đủ cho phần cài đặt MCP
• Azure Content Safety Implementation: ví dụ cài đặt tích hợp Azure Content Safety
• MCP Security Controls: các biện pháp và kỹ thuật bảo mật mới nhất cho MCP
• MCP Best Practices Quick Reference: tra cứu nhanh các thực hành bảo mật MCP thiết yếu
• BlueHat 2026: Securing the future of AI: Securing MCP with defense in depth patterns: các mẫu phòng thủ nhiều lớp từ Microsoft Security Response Center (MSRC)

Đây là bài cuối của khoá trong đợt import này; bạn có thể quay lại bài đầu tiên để ôn tập.

Nguồn

• Dịch và biên tập từ microsoft/mcp-for-beginners · 02-Security/README.md, giấy phép MIT.