降低 Google Cloud MCP 造成的間接提示詞注入風險

程式碼代理程式通常會部署在使用者工作站的本機，並利用控制使用者委派的授權存取資料。一般來說，程式碼編寫代理程式會以使用者的所有權限執行，但與人類不同的是，程式碼編寫代理程式容易受到提示注入的影響，進而決定其動作。這可能會對您的基礎架構和資料造成風險，請務必審慎評估。

代理程式可能會誤將資料解讀為指令，有時稱為間接提示詞注入。舉例來說，惡意行為人可能會建立一些惡意提示詞，直接 (例如透過電子郵件或日曆) 或間接 (例如將提示詞納入 Cloud Storage 或 BigQuery) 分享給受害者，並等待代理程式根據這些惡意提示詞採取行動。

為降低風險，建議您考慮下列額外防護措施。

  1. 盡可能在受限環境中執行代理程式。標準範例是讓使用者僅在 Cloud Workstations 上啟動代理程式，並停用網際網路存取權，且不具備根層級權限。我們也建議您在 Cloud Workstations 上設定 VPC-SC 保護措施。

  2. 組織限制標頭：如果組織在公司網路邊界設有網路安全 Proxy，可以啟用組織限制標頭。部署後，這項設定會將公司網路可存取的資源集限制為特定機構Google Cloud (例如企業的住家機構)，禁止代理程式 (和人員) 存取公司租戶 Google Cloud外部的資源。如果貴機構已使用輸出 Proxy，可能支援這項功能。

  3. 主體存取邊界 (PAB)：PAB 可限制特定身分可存取的資源集。對於程式碼編寫代理程式，代理程式可以自己的身分執行 (例如服務帳戶或 Vertex AI Agent Engine 支援的代理程式身分)，也可以使用使用者的委派授權。無論是哪種情況，您都可以啟用 PAB，限制只有機構資源能存取，但如果將限制套用至人類身分，人類的存取權也會受到限制。

  4. VPC Service Controls - 如果機構將公司網路納入 VPC Service Controls perimeter，當這些風險直接來自 VPC perimeter 外部時，機構就會受到保護。如果貴機構擔心透過 Google Cloud(包括透過代理程式) 竊取資料，不妨考慮在環境中導入 VPC Service Controls。

  5. Model Armor：啟用 Model Armor，偵測並封鎖透過 Google 代管 MCP 伺服器存取資料時，可能發生的提示詞注入攻擊。