鐵人檔案
在 AI 快速發展下，也帶來許多資安問題，如 Prompt Injection、越權操作、資料洩漏等。我將以 n8n × MCP 為例，針對不同威脅設計對應的防禦措施，透過輸入驗證、權限限制，展示生成式 AI 的安全實踐。
MCP 是什麼？ n8n 是什麼？ 為什麼它們成為駭客的新目標？ 最近 MCP（Model Control Plane）和 n8n 漸漸成為開發 AI 工具的主...
昨天介紹了 MCP-SSE 和 n8n，這些工具讓 AI 自動化變得超方便，但也像雙刃劍。今天來談談威脅模型，也就是駭客可能怎麼濫用你的 MCP-SSE × n...
前兩天我們聊了 MCP-SSE 和 n8n 的基礎，以及潛在威脅。今天，我們來動手建立一個最小的 MCP-SSE + n8n workflow，來個經典的 He...
在前一章我們建立了 Hello World workflow。這一章則反過來，從「攻擊者」的角度出發，模擬 未經防護的 Webhook 如何被濫用。這是實戰的第...
在前一章我們模擬了 Webhook 被駭客隨便呼叫的場景。這裡的第一道防線，就是「加上 API Key 驗證」。這能確保只有合法的請求，才會進到你的 workf...
除了 Webhook，另一個高風險點是 MCP-SSE 端點。 這類端點會建立 長連線 (long-lived connection)，讓客戶端持續接收 AI...
在上一章，我們示範了 MCP 端點如果沒有防護，攻擊者可以直接送入惡意 payload，導致 LLM 或資料庫被濫用。 這一章，我們要加上 輸入驗證 (Inpu...
在前幾天，我們已經示範了「不受控的 Webhook」與「MCP-SSE 攻擊」。 今天，我們來到一個新的場景：駭客試圖呼叫敏感 Workflow。 這一次，我們...
在使用 MCP（Model Context Protocol）整合多種工具時，如果沒有設定最小權限，將導致高風險的安全漏洞。本策略的核心是：只允許必要的工具可被...
今天設計 短時間行為監控。目的是避免攻擊者在獲得 API Key 後，短時間內瘋狂觸發敏感的資料庫工具（如 query_database 或 delete_da...
