鐵人檔案
在 AI 快速發展下，也帶來許多資安問題，如 Prompt Injection、越權操作、資料洩漏等。我將以 n8n × MCP 為例，針對不同威脅設計對應的防禦措施，透過輸入驗證、權限限制，展示生成式 AI 的安全實踐。
在這篇文章裡，我要模擬一個非常危險但真實可能發生的情境：如果 MCP 伺服器中意外混入了惡意工具（例如 port_scan），而我們又把它直接接上 n8n 的...
在前面完成 API Key 與輸入驗證、以及最小權限後。 第四道防線是白名單目標：嚴格限制 n8n 觸發的掃描僅能作用於內網。做法是把「可被掃描的目的地」從黑名...
今天分享 MCP webhook 被短時大量請求（Spike）後，系統上會出現的影響與觀察到的指標。 攻擊後你會看到的狀況 以下為常見、可直接量化的異常指標與...
防禦方式辦法 n8n 工作流層： Queue/Worker 併發控制：限制同時執行的工作流數量，防止後端系統過載 節流節點：在迴圈前加入 Wait 節點，...
這兩週以「實戰模擬 → 分段補防禦」為主線。先建立最小的 MCP × n8n workflow，然後透過多種紅隊場景（未授權的 webhook 呼叫、惡意 pa...
當攻擊者取得系統使用的 API Key（或其他長期憑證）後，就能在未授權情況下重放（replay）請求，模擬合法使用者的行為。 常見外洩向量 憑證硬編在前端或...
本次把「驗 Key」與防重放前移到 MCP 閘道，前端只打 /work/entry，MCP 先驗 timestamp（±60s）+ 一次性 nonce（TTL...
因為這陣子剛好有一些AI成為你的駭客助手這一類倫理問題產生，因此之後的模擬攻擊都會改成攻擊可能性。 在程式碼中硬編碼金鑰，是一個常見但高風險的錯誤。一旦原始碼被...
在 n8n 中，Credential（憑證/金鑰） 用來連接外部服務（如資料庫、雲端 API、Discord、Slack…）。如果這些憑證被竊取或誤洩，駭客就能...
在 MCP × n8n 的自動化平台中，金鑰（API key、service account、JWT signing key、DB credential 等）是...
