接入第三方 MCP 服务前的信任确认，应作为评审流程的起点。企业还需要确认“谁提供、有哪些工具、代表谁访问、可能读写什么、变更后谁负责”。连接成功和点击同意都不能替代工具级风险评估、目标系统权限控制与上线后的变更管理。
近期观察：截至 2026 年 10 月 25 日核验，过去 24 小时内未发现 WorkBuddy、千问办公或豆包工作围绕企业业务系统连接的重大版本发布。近 72 小时内，腾讯云 WorkBuddy Enterprise 4.20.0 更新记录（页面最近更新时间为 2026 年 10 月 23 日 22:09）提到，MCP 服务接入第三方服务前新增信任授权，要求先确认再连接；官方说明该步骤用于避免误连不可信服务。这个变化提示企业把“信任”放进连接流程，但更新记录没有表明确认本身会完成第三方安全认证或授权审计。WorkBuddy Enterprise 4.20.0 版本更新记录（页面最近更新 2026-10-23；核验于 2026-10-25）。
近期更新说明：MCP 接入增加前置确认
在 4.20.0 更新记录的“连接器与 IM 助理”部分，腾讯云写明第三方 MCP 服务接入前需要先确认信任。同期企业管理端更新记录还记载了自定义 MCP Hub 链接配置，以及系统内置连接器统一管理、下发和独立开关等企业管控变化。两份官方记录都在 2026 年 10 月 23 日更新，反映出客户端接入决策和企业端集中配置同时受到关注。
这属于产品更新事实，不表示所有工作台采用相同流程，也不说明新确认框会检查服务代码、数据处理方式或工具定义。以下核验项是面向企业落地的通用建议。OWASP 的 MCP 安全指引建议把每个 MCP 服务视作独立信任域，检查工具定义并按风险限制权限；具体组织应结合自身威胁模型和系统政策执行。
一次确认能回答什么，不能回答什么
确认提示能让用户意识到连接目标并作出选择，是连接流程中的一道门。它通常无法单独回答：服务运营者是否可信、工具会读取或修改什么数据、授权凭据覆盖多大范围、工具描述今后是否变化、响应内容能否影响其他智能体工具。也就是说，“用户同意连接”是用户决策记录，不等于“服务经过安全审查”，更不能代替目标业务系统的身份与权限控制。
这个差异在企业场景尤其重要：第三方服务可能提供只读查询，也可能暴露写入、发消息或外发数据的工具；同一 MCP Server 下的多个工具风险并不相同。企业评审应以具体工具和具体业务场景为单位，而不是只按服务器名称一次性放行。
上线前五项核验
| 评审项 | 需要回答的问题 | 上线证据 |
|---|---|---|
| 来源与责任人 | 谁运营服务、从哪里部署或获取、业务负责人和技术联系人是谁？ | 来源说明、服务地址、版本、维护者、联系人和停用责任人。 |
| 工具定义与变化 | 有哪些工具、参数及返回值？描述或权限发生变化时谁会复核？ | 上线时工具清单与 schema 快照、变更记录、差异复核人。 |
| 身份与凭据 | 工具代表哪个员工或服务身份访问？凭据作用域覆盖哪些系统资源？ | 独立凭据、最小必要范围、轮换和撤销步骤；不得共用高权限令牌。 |
| 数据与操作影响 | 工具读取、写入或外发哪些数据？不可逆、高影响动作如何审批？ | 数据分类、读写边界、目标系统权限验证、人工确认与拒绝路径测试。 |
| 运行与退出 | 如何监控异常、处理更新、暂停连接和撤权？ | 调用日志责任人、告警路径、变更评审频率、回退与下线演练记录。 |
评审时可以让服务提供方或内部开发者演示两条路径：授权范围内的只读查询，以及一项会被拒绝或要求确认的高影响操作。重点不是让模型“说它不会做”，而是检查工具权限、业务系统校验和人工流程是否在执行层生效。若工具定义或授权范围改变，应触发重新评审。
用分级发布降低接入不确定性
- 先登记：明确业务目的、系统所有者、服务来源、联系人、拟用工具和数据类别。暂不连接生产凭据。
- 隔离验证：在测试环境或最小权限账号下测试工具发现、认证、只读结果、越权拒绝和错误处理；确认响应内容会被当作不可信业务数据处理。
- 按风险放量：先开放低风险只读工具给限定用户，再根据证据评估是否开放写入。高影响动作保留目标系统权限校验和人工确认。
- 记录版本基线：保留服务地址、版本、工具定义、授权范围和评审结论。工具增删、描述或参数变化时按企业流程复核。
- 演练撤销：验证停止下发、撤销凭据和业务系统权限后，后续调用确实失败，并明确已发起的在途操作如何核对。
将评审结果写入现有的软件接入或变更管理流程即可，不一定需要另建一套重型委员会。对高敏数据、财务写入、批量外发等工具采用更严格的审批和运行隔离；普通只读工具可按较轻流程审批，但仍留下责任人和退出方式。
星云 PLUS 的已确认能力与边界
按星云 PLUS 产品营销卖点库核对，AI 系统连接器支持将 AI 用户映射到目标系统员工个人账号，并可按员工、用户组或组织配置连接器能力授权；目标系统继续按自身权限规则判断可访问的功能与数据。新增、修改、删除和审批等关键操作默认要求员工确认，调用记录支持查询与导出。
这些能力有助于把业务身份、能力授权、关键操作确认和调用追溯纳入企业连接方案，但不能据此宣称星云 PLUS 会自动认证或扫描任意第三方 MCP Server、验证其供应链或监控 schema 漂移。具体连接方式及风险控制范围，需要结合目标系统、部署条件和第三方服务评估。了解星云 PLUS AI 系统连接方案可访问官网，也可关注视频号“星云AI开发平台”。
常见问题
MCP 服务连接前的信任确认可以证明服务安全吗？
不能。确认动作表示用户同意继续连接，不等同于核验服务发布者、工具定义、凭据范围、运行权限或后续变更。企业仍需根据数据和操作风险完成评审。
第三方 MCP 工具上线前应先检查什么？
至少核对服务来源与责任人、连接地址和运行方式、工具名称与参数定义、所需凭据和数据范围、读写及外发影响、变更通知和停用方式，并以隔离环境验证。
只核对 MCP 服务地址白名单够吗？
不够。地址范围有助于限制连接目标，但不能说明服务提供哪些工具、工具使用什么身份或凭据、数据如何处理以及工具定义是否发生变化。
星云 PLUS 会自动检查第三方 MCP 服务安全吗？
目前按已确认产品事实，可说明星云 PLUS 支持 AI 用户身份映射、连接器能力授权、沿用目标系统权限、关键写入等操作由员工确认，以及调用记录查询与导出；不据此声称具备自动扫描或安全认证第三方 MCP 服务的能力。
资料来源与核验日期
- 腾讯云 WorkBuddy Enterprise，4.20.0 版本更新记录：记录第三方 MCP 服务接入前增加信任授权；页面最近更新时间 2026-10-23 22:09；核验于 2026-10-25。
- 腾讯云 WorkBuddy Enterprise，管理端更新记录：2026.9 月更新包含自定义 MCP Hub 链接配置、内置连接器管理与下发；页面最近更新时间 2026-10-23 22:09；核验于 2026-10-25。
- OWASP Cheat Sheet Series，MCP Security Cheat Sheet：关于服务信任域、最小权限、工具定义审查和敏感操作确认的安全建议；该页面未标出发布日期，核验于 2026-10-25。
- 星云 PLUS 产品事实依据：指定《09-星云PLUS产品营销卖点库》，只用于核对已确认能力；核验于 2026-10-25。
产品更新事实与通用安全建议已分别标注。上线清单是企业评审建议，不代表 WorkBuddy 或其他工作台的具体实现，也不构成第三方服务安全结论。