AI 代理與 MCP
進階
AI 代理與 MCP

安裝 MCP 外掛並做安全檢查

MCP 讓 AI 能使用外部工具（檔案、資料庫、瀏覽器、Email）。這篇教你怎麼裝，以及裝之前一定要檢查的七件事。
40 分鐘
6 步
免費
編
AI 有解編輯部
最後更新 2026 年 11 月 4 日・CC BY 4.0
用到的工具
Claude Code
Claude Desktop
Cursor
MCP（Model Context Protocol）是讓 AI 連接外部工具的標準。好處是 AI 能直接查資料、操作軟體；風險是一個惡意外掛就能讀你的檔案或寄出你的信。
你需要準備
•
一個支援 MCP 的 AI 工具（Claude Code、Claude 桌面版、Cursor 等）
•
一個想接的服務，例如 GitHub、資料庫、檔案系統
進度 0／6
1

先認識真實案例

2025 年 9 月出現第一個被發現的惡意 MCP 外掛：它假冒正版套件的名字，只改了一行程式，就把經過它寄出的每封信都偷偷副本寄給攻擊者，每週約有上千次下載。目錄網站大多不做資安審查，所以檢查是你自己的責任。
2

安裝前的七項檢查

1.
來源：是服務官方（例如 GitHub 官方的 MCP）還是個人？官方優先。
2.
名稱：套件名稱與官方文件一字不差，小心相似名稱。
3.
發布者與歷史：看儲存庫的維護者、星數、最近更新、問題回報。
4.
權限：它能讀哪些檔案、能不能執行指令、能不能對外連網？
5.
金鑰範圍：給它的 API 金鑰只開需要的權限（例如唯讀）。
6.
鎖定版本：指定版本號，不要自動更新到最新版。
7.
讀程式碼或請 AI 審查：尤其注意寄信、上傳、執行指令的部分。
提示詞
請審查這個 MCP 伺服器的原始碼，找出：對外連線的網址、讀寫的檔案路徑、 執行的系統指令、任何把資料傳到第三方的程式碼，並評估風險高低。 【貼上原始碼或儲存庫網址】
3

在 Claude Code 加入 MCP

終端機
claude mcp add 名稱 -- 啟動指令 參數 claude mcp list
例如鎖定版本的寫法：npx -y 套件名稱@1.2.3。
4

在桌面版用設定檔加入

設定檔中的 mcpServers 區塊大致長這樣（各工具位置不同，以官方文件為準）：
JSON
{ "mcpServers": { "filesystem": { "command": "npx", "args": ["-y", "@modelcontextprotocol/server-filesystem@版本號", "C:/Users/你/Documents/ai-workspace"] } } }
檔案系統類外掛只開放一個專用資料夾，不要開整顆硬碟。
5

使用時保持「人在迴路中」

•
寄信、刪除、付款、發布這類動作，保留每次確認。
•
定期檢查已安裝的外掛清單，移除不用的。
6

在本平台回報可疑外掛

在工具頁按「回報安全問題」，平台會標示警告並通知其他使用者。
你照著做成功了嗎？
成為第一個回報的人。你的回報會決定攻略排序與作者分潤。
下一步
用 AI 串接日常流程：見〈用 n8n 串 AI 自動化〉。
收錄在學習路線
廣告版位
想讓正在用 AI 的人看到你的產品？了解廣告合作
問與答
卡住的地方、補充的做法都可以留在這裡
還沒有人留言。
更多「AI 代理與 MCP」攻略