【会议纪要】【Security sig例会】20260225

【与会人】：郭亮，李建峰，宋世轩，郑雪，蒋宏博，陶颖

会议议题：

议题1、MCP服务器工具增强（华为-陶颖）

会议结论：

议题1、MCP服务器工具增强（华为-陶颖）

评审意见：

1、mcp client和mcp server之间需要支持认证
2、大模型具有配置数据库用户的所有权限，若数据库存储了违规言论，需要保证违规言论不被输出，且该风险需要在资料和提示中说明

3、大模型层面返回的数据（与数据库无关）违反function safety的场景，需要在资料和模型答复中加免责条款说明
4、方案设计中大模型可完全控制数据库，执行增删改等操作。需确认是否存在大模型理解错误，导致用户本身误删数据的场景。若对应场景存在，也需要添加免责声明
5、大模型会持续分析数据库数据，担心用户敏感数据泄露的话，需要声明建议进行本地部署

评审结论：

遗留问题闭环后通过