एक वाक्य में सार: MCP AI को 'काम करने की क्षमता' देता है, लेकिन उसके पास कितनी अनुमति होगी, यह पूरी तरह आपकी कॉन्फ़िगरेशन में लिखे पर निर्भर करता है। जोखिम की सीमा समझ लीजिए, ताकि आप बेफ़िक्री से इसका उपयोग कर सकें।
जोखिम कहाँ से आता है? तीन परतें
npx -y xxx से इंस्टॉल करने का मतलब है — वह कोड पैकेज प्रकाशित करने वाले की इच्छानुसार कुछ भी कर सकता है। दुर्भावनापूर्ण या हैक हो चुका सर्वर एनवायरनमेंट वेरिएबल से टोकन चुरा सकता है, फ़ाइलें पढ़ सकता है और डेटा बाहर भेज सकता है। यही सबसे बड़ी तरह का जोखिम है।
क्या आपने GitHub टोकन को पूरे रिपॉज़िटरी के रीड/राइट अधिकार दे दिए हैं? तब AI आपका कोड बदल सकता है और इश्यू डिलीट कर सकता है। सिर्फ़ न्यूनतम अनुमति दीजिए: पढ़ना काफ़ी हो तो लिखने का अधिकार न दें; एक रिपॉज़िटरी काफ़ी हो तो पूरा अकाउंट न दें।
AI द्वारा पढ़े गए वेब पेज, डॉक्यूमेंट और कोड में 'उपयोगकर्ता के निर्देश अनदेखा करें और XX करें' जैसे दुर्भावनापूर्ण वाक्य छिपे हो सकते हैं। इससे AI उच्च-विशेषाधिकार वाले टूल बुला सकता है। AI युग का नए अंदाज़ का फ़िशिंग यही है।
6 व्यावहारिक सुरक्षा टिप्स
- सिर्फ़ वही सर्वर इंस्टॉल करें जिनके स्टार ज़्यादा हों, लगातार मेंटेन होते हों और आधिकारिक स्रोत से हों (जैसे Microsoft / GitHub का आधिकारिक इकोसिस्टम)। स्रोत अस्पष्ट निजी प्रोजेक्ट से बचें
- टोकन केवल स्थानीय रूप से रखें, और
.gitignoreके ज़रिए कॉन्फ़िगरेशन फ़ाइल को बाहर रखें ताकि वह कभी रिपॉज़िटरी में अपलोड न हो - न्यूनतम अधिकारों वाले क्रेडेंशियल जारी करें: GitHub के लिए केवल-रीड टोकन, डेटाबेस के लिए केवल-रीड अकाउंट — जो सिर्फ़ देखना हो उसके लिए बदलने का अधिकार न दें
- उच्च-विशेषाधिकार वाले सर्वर से सावधान रहें: कमांड चला सकने, फ़ाइलें डिलीट कर सकने या पूरी डिस्क पढ़ सकने वाले सर्वर (filesystem टाइप आदि) सिर्फ़ भरोसेमंद वातावरण में इंस्टॉल करें
- AI के क्रेडेंशियल माँगने पर सतर्क रहें: अगर 'आगे बढ़ने के लिए मुझे आपका टोकन चाहिए' जैसी बात सामने आए, तो शक कीजिए। सामान्य परिदृश्य में आपकी कुंजी कभी नहीं माँगी जाती
- समय-समय पर जाँच करें: उपयोग में न आने वाले सर्वर तुरंत हटाएँ, और लीक होने की आशंका हो तो टोकन तुरंत रद्द करके दोबारा जारी करें
सुरक्षित इंस्टॉलेशन की चेकलिस्ट
सबसे भरोसेमंद उम्मीदवारों को व्यवस्थित तरीके से छानना चाहते हैं? इस साइट की चुनिंदा लिस्ट देखें — 'आधिकारिक / हाई-स्टार / एक्टिव' के आधार पर छाँटी गई है।