一、从边界安全到零信任

传统的安全模型基于边界防护的假设：内部网络是可信的，外部网络是不可信的。防火墙、VPN、网络隔离构成了安全边界。在这个模型下，一旦攻击者突破了边界，就可以在内部网络中自由移动，造成严重破坏。

随着微服务、云原生、混合办公的普及，网络边界变得模糊。Agent 系统更是打破了传统的信任模型。Agent 可能运行在任何地方：云端、数据中心、边缘设备、个人电脑。Skill 也可能运行在任何地方。没有明确的边界可以依赖。

零信任安全模型应运而生。其核心原则是：永不信任，始终验证。无论请求来自内部还是外部，都必须经过认证和授权。MCP 作为 Agent 与 Skill 之间的通信协议，需要从设计上支持零信任原则。

本章将探讨如何在 MCP 体系中实施零信任安全模型，包括双向 mTLS 认证、最短路径授权、动态令牌等关键技术。

二、零信任的核心原则

零信任安全模型建立在以下几个核心原则之上。

第一，永不信任，始终验证。没有隐式的信任。每个请求，无论来源，都必须经过完整的认证和授权流程。网络位置不能作为信任的凭证。

第二，最小权限。每个主体只拥有完成其任务所必需的最小权限，不多不少。权限应该是短暂的、动态的，而不是长期的、静态的。

第三，假设失陷。安全设计应该假设系统已经被攻破，在这种假设下仍然能够限制损害范围。这要求细粒度的隔离和分段。

第四，显式验证。所有访问决策都基于尽可能多的数据源，包括身份、设备健康状态、行为模式、地理位置等。

MCP 体系中的零信任需要在多个层次上实现：传输层需要双向认证，应用层需要细粒度授权，运行时需要持续验证。

三、双向 mTLS：传输层的零信任

传输层安全是零信任的基础。MCP 通信应该使用双向 TLS，即客户端和服务器互相验证对方的证书。

在标准的 TLS 中，客户端验证服务器的证书，确保连接到了正确的服务器。但服务器不验证客户端的身份。这种方式防止了中间人攻击，但无法防止未授权客户端的访问。

在双向 TLS 中，服务器也要求客户端提供证书，并验证该证书的有效性。只有持有有效证书的客户端才能建立连接。这为 MCP 通信提供了身份级的访问控制。

证书的发放与管理

在 MCP 体系中，每个 Agent 和每个 Skill 都需要有自己的身份证书。证书可以由企业内部的公钥基础设施签发，也可以使用云服务商提供的证书管理服务。

Peta 集成了证书管理模块，可以自动为每个注册的 Agent 和 Skill 签发短期证书。证书的有效期可以设置为几个小时到几天，到期后自动轮换。这减少了证书泄露的风险。

证书的验证

Peta 网关在接收连接时，会验证客户端证书的签名、有效期、吊销状态。同时，网关还会检查证书中的身份信息是否与请求中声明的 caller_id 一致。不一致的请求被拒绝。

对于 Skill 侧，Peta 网关作为客户端连接 Skill 时，也会提供自己的证书。Skill 可以选择验证网关的证书，确保连接的是合法的网关而不是冒牌者。

四、最短路径授权：应用层的零信任

传输层的双向 mTLS 解决了“谁在连接”的问题。但谁有权限执行什么操作，需要在应用层解决。这就是授权。

传统授权模型通常基于角色和权限的静态分配。用户登录后获得一组角色，在整个会话期间保持不变。这种模型在零信任架构下显得笨拙。

最短路径授权是一种更细粒度的授权模型。其核心思想是：每个授权决策都应该基于当前请求的最直接、最相关的信息，而不是基于预先分配的静态角色。

属性为基础的访问控制

最短路径授权通常使用属性为基础的访问控制。授权决策基于主体属性、客体属性、环境属性、操作属性。

在 MCP 场景中，主体属性包括 Agent 的标识、类型、租户、安全标签。客体属性包括 Skill 的标识、类型、敏感度级别。环境属性包括当前时间、网络位置、请求频率。操作属性包括 Action 类型、传入参数、期望的结果。

Peta 的策略引擎支持丰富的属性为基础的访问控制规则。管理员可以定义如下的策略：允许来自客服租户、在工作时间内、对未发货订单调用 refund Skill。这个决策基于多个属性的组合，而不是单一的静态角色。

动态令牌

最短路径授权要求权限是短暂的。Peta 使用动态令牌来实现这一点。Agent 在发起调用时，需要向 Peta 网关出示一个短期令牌。这个令牌包含了 Agent 的身份信息以及允许执行的操作范围。

令牌的有效期可以设置为几秒到几分钟。过期后 Agent 需要重新获取令牌。这大大降低了令牌泄露的风险。

即时授权

传统的授权决策通常在用户登录时做出，然后缓存数小时。最短路径授权要求授权决策在每次请求时实时做出。Peta 的策略引擎在每次调用时都会评估策略，而不是依赖缓存的结果。

这种即时授权模式可以响应实时的风险变化。例如，如果检测到某个 Agent 行为异常，管理员可以立即收紧策略，下一次调用就会生效。

五、零信任架构下的身份与访问管理

在零信任架构中，身份管理是核心。MCP 体系需要统一的身份模型。

Agent 身份

每个 Agent 应该有唯一的身份标识。这个标识不应该被硬编码，而是由控制平面在 Agent 注册时颁发。Agent 的身份凭证是短期证书或动态令牌，而不是长期的 API 密钥。

用户身份

Agent 通常代表某个最终用户执行操作。用户的身份应该通过 Context 中的 user_id 字段传递。MCP 网关可以将 Agent 身份和用户身份关联起来，执行双重验证。

身份联合

在企业环境中，可能已经存在身份管理系统，如 Active Directory、Okta、Auth0。Peta 支持与这些系统集成，实现身份联合。Agent 可以使用企业身份登录，而无需单独注册。

六、持续验证与行为分析

零信任不是一次性的验证，而是持续的过程。即使在一次请求被允许后，系统仍然应该持续监控和验证。

会话内的持续验证

对于长时间运行的流式调用，会话可能持续数分钟甚至数小时。Peta 网关可以在会话期间定期要求 Agent 重新提供令牌，验证令牌是否仍然有效。如果令牌已过期或已被撤销，会话被终止。

行为分析

Peta 的审计日志可以用于行为分析。机器学习模型可以学习每个 Agent 的正常行为模式，包括调用的 Skill 类型、调用频率、参数分布。当检测到偏离正常模式的行为时，系统可以触发告警或自动拒绝调用。

自适应策略

基于行为分析的结果，策略可以自动调整。例如，如果一个 Agent 的行为变得越来越异常，系统可以逐步收紧其权限，直到问题解决。这种自适应策略是零信任的高级形态。

七、Peta 的零信任实践

Peta 从设计之初就遵循零信任原则，提供了完整的零信任安全能力。

默认拒绝

Peta 的默认策略是拒绝所有调用。只有明确允许的调用才能通过。这符合零信任的核心原则。

双向 TLS

Peta 网关强制要求使用双向 TLS。所有 Agent 和 Skill 都必须提供有效的客户端证书。证书由 Peta 内置的证书管理服务签发和轮换。

短期令牌

Agent 使用短期令牌调用 Skill。令牌的有效期默认五分钟，可根据需要配置。令牌中包含 Agent 的身份和权限声明，由 Peta 网关签名。

细粒度授权

Peta 的策略引擎支持基于属性的访问控制，可以表达复杂的授权规则。

审计日志

所有调用都被记录在审计日志中，用于事后分析和行为监控。

集成安全生态

Peta 可以与企业的安全信息与事件管理、威胁检测平台集成，实现统一的零信任安全架构。

八、零信任实施的挑战与应对

在 MCP 体系中实施零信任面临一些挑战。

挑战一：证书管理的复杂度

每个 Agent 和 Skill 都需要证书，证书的签发、分发、轮换、吊销都会带来运维负担。应对策略是使用自动化证书管理。Peta 内置了证书管理服务，Agent 和 Skill 在注册时自动获得证书，到期自动轮换。

挑战二：性能开销

双向 TLS 和每次请求的授权评估都会带来性能开销。应对策略是优化和缓存。Peta 使用会话复用减少 TLS 握手开销，使用策略预编译和结果缓存减少授权评估开销。

挑战三：兼容性问题

某些旧的 Skill 可能不支持双向 TLS。应对策略是提供适配层。Peta 可以在 Skill 侧部署一个适配代理，由代理处理 TLS 连接，然后将明文请求转发给 Skill。

挑战四：用户体验

频繁的令牌刷新可能影响用户体验。应对策略是使用刷新令牌。Agent 可以使用一个有效期更长的刷新令牌来获取短期访问令牌，减少用户交互。

九、小结：零信任是 MCP 安全的基础模型

本章的核心结论可以总结为以下几点。

第一，传统的边界安全模型不再适用于 Agent 系统。零信任安全模型的核心原则是永不信任、始终验证。

第二，双向 mTLS 为 MCP 通信提供了传输层的零信任。客户端和服务器互相验证证书，确保双方身份的真实性。

第三，最短路径授权是应用层的零信任。使用属性为基础的访问控制、动态令牌、即时授权，实现细粒度的权限管理。

第四，零信任需要统一的身份管理，包括 Agent 身份、用户身份、身份联合。

第五，持续验证和行为分析是零信任的进阶能力。会话内持续验证、行为分析、自适应策略可以在运行时动态调整信任。

第六，Peta 从设计之初就遵循零信任原则，提供了默认拒绝、双向 TLS、短期令牌、细粒度授权、审计日志等能力。

第七，零信任实施面临证书管理、性能、兼容性、用户体验等挑战，但都有相应的解决方案。

零信任是 MCP 安全的基础模型。在一个无边界、多角色的 Agent 时代，零信任原则是从根本上保障系统安全的唯一路径。

在下一章，我们将进入行业场景与案例深度剖析部分，探讨金融行业 MCP Agent 系统的实践。