AI 工作台与 MCP 服务如何排查公网暴露和未授权调用？

近期观察说明：对 WorkBuddy、千问办公、豆包工作的公开更新记录按过去 24 小时、72 小时和 7 天范围核对后，没有发现围绕企业业务系统连接或公网端点治理、足以改变接入判断的重大版本发布。近一周可见的 WorkBuddy 5.9.3 与千问办公 1.4.0 更新主题并非这类安全事件，因此本文不把产品更新包装成当日新闻。

近期安全观察：开放的模型端点可能被借作攻击算力

Symantec Threat Hunter Team 于 2026 年 10 月 21 日发布的分析称，研究人员在 AI 蜜罐中捕获到一套名为“Skynet mode”的攻击指令。其设计目标包括寻找未认证或凭据被盗用的模型端点、利用模型协助规划攻击，并调用外部工具执行扫描等操作。研究所描述的是捕获到的指令和请求；蜜罐没有执行其中的工具调用，报告也没有确认这套 agent 已成功入侵真实系统。Symantec 原始分析给出了认证、密钥管理、出站流量和最小权限等防护建议。

The Register 于 10 月 24 日另行报道该项分析，同样将风险重点放在未认证端点被发现和调用的可能性，而非声称已确认真实受害者。Cloud Security Alliance AI Safety Initiative 于 10 月 25 日发布的研究简报，则把建议落到 AI 服务资产盘点、端点认证、暴露面扫描和推理遥测。三者均提醒企业核查服务配置，但不能据此推导行业中已普遍发生入侵。The Register 报道 · CSA 研究简报。

对企业 AI 工作台项目的启示不是停止连接业务系统，而是将“AI 能调用什么”拆成可审查的网络入口、调用身份、工具权限与业务权限。MCP 解决客户端与工具服务之间的调用约定；公网可达性、认证方式、密钥保护、流量控制和宿主机网络策略仍需由部署架构与运维流程负责。

先盘点哪些 AI 服务入口

资产清单不能只记录正式生产集群。项目试验、临时调试、开发者笔记本和运维管理面板也可能启用模型 API 或工具服务。建议至少检查以下类别，并逐项标记环境、网络位置、责任团队、数据等级、身份方式、密钥持有人和停用日期：

• 模型推理端点：自托管模型、兼容 OpenAI API 的代理、模型路由服务，以及提供模型清单或健康检查的路径。
• AI 网关和工作台后端：模型供应商凭据存放位置、外部入口、管理接口、调试模式和访问日志。
• MCP 服务：远程或本地 Server、HTTP/SSE/Streamable HTTP 入口、代理转发层、工具描述与可执行操作范围。
• Agent 与自动化运行环境：能发起推理请求、调用工具或访问内部系统的主机、容器、作业及开发环境。
• 临时与遗留资源：PoC、演示环境、个人云资源、过期域名、测试隧道、已弃用但仍运行的服务。

清点时同步从云资产、DNS、负载均衡器、WAF、防火墙和代码配置中交叉核对，避免清单仅依赖团队自报。目标是回答两个可验证的问题：哪些服务从不可信网络可达？每一条到达路径是否都强制执行相同的身份和访问策略？

上线前的六项检查

1. 逐入口确认网络可达范围

确认生产和测试环境是否只在预期网络内开放；避免把模型进程直接绑定到所有网络接口。确需外部访问时，经受控网关、反向代理或 VPN/零信任入口转发，并通过外部扫描验证公网暴露结果。健康检查、文档、模型清单和管理页面也要纳入检查。

2. 对每一条路径实施认证与授权

不要只在聊天页面做登录。网关、MCP Server 和下游 API 都应按所处信任边界核验调用方；为不同服务、环境和用途使用不同凭据。未认证时，检查端点应拒绝请求且不返回敏感模型、资源或工具信息。需要组织身份的场景，应验证用户被撤权或离职后，后端会拒绝后续调用。

3. 把 API 密钥当作高价值凭据管理

为密钥设定用途、调用范围与轮换责任，使用受控密钥存储，不把凭据提交到代码仓库、镜像、日志或客户端配置。对泄漏响应预先定义吊销、轮换、受影响服务排查和历史调用核验。推理用量或费用偏离业务基线时，应能触发通知并找到对应的凭据与服务负责人。

4. 限制运行 Agent 的出站网络

工具宿主机通常不需要任意访问互联网。按工作流允许访问模型供应商、必要业务 API 与经过批准的更新源；限制访问云元数据、管理网段和未批准域名。策略要基于实际依赖逐步测试，不能以一个宽泛的“允许 HTTPS”代替目标清单。

5. 监控调用量与异常行为

记录调用时间、服务身份、环境、模型、请求量、费用、工具名称和结果状态等必要元数据。按团队和用途建立基线，关注突增的推理请求、异常时间段、失败重试风暴、非预期模型调用和宿主机的异常出站连接。日志需要避免记录不必要的敏感正文；保留期限和访问权限按企业制度设置。

6. 为工具调用设置最小权限和关键动作确认

优先从只读工具开始，按岗位和业务范围缩小可访问数据；写入、审批、删除等高影响动作应有明确的确认与复核路径。仅有“模型回答前要求确认”并不足够，服务端和目标业务系统仍须校验实际调用者及其权限。为超时、重复调用、误写和凭据失效准备可操作的停用或恢复步骤。

如何组织一次可复核的验证

1. 选择一个范围受控的工作流：标明使用入口、MCP Server、目标业务系统、调用角色和涉及数据等级。
2. 建立基线：从网络与云资产清单确认已知端点；定义允许的来源网段、目标域名、身份方式、工具集合和常见调用量。
3. 在授权测试中验证入口：检查未登录、错误凭据、过期凭据、越权角色和已撤权用户是否被拒绝；从企业许可的外部测试点核对服务是否意外开放。
4. 检查网络和费用异常：确认 Agent 运行环境不能访问未批准的公网或管理网段；以安全的测试负载验证用量告警与凭据停用流程。
5. 回看证据并设定责任：让业务、IT 与安全团队能按时间、调用身份、工具和结果定位事件；明确谁可以停服、撤销密钥、恢复业务及确认受影响范围。

不要将生产密钥或真实敏感数据用于无授权的扫描与攻击模拟。测试应由负责团队在约定环境和范围内执行，并记录预期结果、实际结果、异常处理人和整改期限。

业务权限治理与网络防护是两层工作

边界防护解决“服务是否能被不该访问的人或网络触达”；业务授权解决“已认证员工能使用哪些能力、读取哪些数据或提交哪些操作”。两者不能互相替代。网络已经收紧，并不意味着每个登录员工都可以调用所有工具；反过来，工具按员工授权，也不能替代端点认证和防火墙策略。

星云 PLUS AI 系统连接器聚焦企业业务能力连接与授权治理。已确认的产品能力包括员工身份映射、按员工或组织授权业务能力、由目标系统继续判断功能和数据权限、关键写入由员工确认，以及记录调用审计。项目仍需根据目标系统、身份、网络和部署环境评估接入方案。它不是公网暴露面扫描器、防火墙或模型网关，本文不将其描述成端点加固产品。

企业可以先通过现有安全与网络工具盘点 AI 服务入口，再在选定的业务工作流中验证连接器和目标系统的身份权限边界。这样，网络侧的入口控制与业务侧的员工授权都能分别验收，并保留各自的责任人和证据。

资料来源与核验日期

• WorkBuddy 官方更新日志：5.9.3 于 2026-10-27 发布。
• 千问办公官方客户端更新日志：1.4.0 于 2026-10-28 发布。
• Symantec Threat Hunter Team：Autonomous LLMjacking: ‘Skynet’ Agent Hijacks Exposed AI Models to Run Attacks，2026-10-21 发布。
• The Register：Autonomous attack agent in ‘Skynet mode’ hijacks other models，2026-10-24 发布。
• Cloud Security Alliance AI Safety Initiative：Skynet-Mode LLMjacking: Exposed Model Endpoints as Autonomous Attack Engines，2026-10-25 发布。

以上网页均于 2026-11-01 核验。本文为近期观察，不将既有版本更新包装成当日新闻；对产品能力、事件影响和实施效果的判断不超出来源公开信息。

结语

企业 AI 工作台的接入面不止用户看到的聊天页面，还包括模型 API、MCP Server、网关、测试环境和运行工具的主机。把它们纳入资产管理，对每条路径验证认证、授权、出站访问和用量监控，可以让“是否暴露”和“谁能做什么”成为可测、可复核的工作项。

如正在评估 AI 连接 ERP、CRM、OA 等系统，可了解星云 PLUS AI 系统连接器和安全与治理，围绕目标环境核对员工身份、能力授权、原系统权限和关键操作确认。