MCP Policy Testing

What is it（这是什么）

MCP Policy Testing 指的是针对 Model Context Protocol（MCP）服务器与客户端之间"策略层"的攻防测试——不是测工具清单里有哪些工具，而是测策略执行本身能不能被绕过。具体攻击面包括：工具调用权限策略的侧门绕过（policy side-door）、WebMCP 场景下网页对 MCP 会话的劫持、以及策略声明与实际执行之间的语义鸿沟。技术本质是"授权逻辑的模糊测试 + 攻击面枚举"。商业意义在于：MCP 已经成为 AI Agent 接入外部世界的默认协议，一旦企业开始把 MCP 服务器接进生产环境（数据库、CRM、支付），策略绕过就是直接的数据泄露与越权执行风险，安全预算会随之打开。

Why now（为什么现在出现）

三个条件在 2026 年 Q4 同时成立。第一，MCP 从 2024 年底的开发者玩具变成了企业集成标准，Anthropic、OpenAI、微软的 Agent 产品线都原生支持 MCP，接入的服务器数量级从数百涨到数万，攻击面才足够大。第二，WebMCP 把 MCP 从本地进程扩展到浏览器上下文，网页本身成为策略注入的载体，这打开了"网页劫持 MCP 会话"这条全新攻击路径——没有 WebMCP，就没有"侧门"这个说法。第三，早期 MCP 安全讨论集中在"工具描述投毒"（tool poisoning），社区已经消化完那一轮，注意力自然转向更深层的策略执行层。晚一年，攻击面已经固化、大厂安全产品进场；早一年，WebMCP 还不存在。这个时间窗口精确对应"协议标准化完成、企业部署开始、安全工具尚未成型"的真空期。

Market Evidence（市场证据）

信号质量偏弱但方向明确。当前只有 2 个独立信源（devcommunity、hn）、3 次总提及，增长率 100%——这个 100% 是从 1 到 2 的翻倍，基数极小，不能当作需求爆发的证据。成熟度标注为 nascent，与数据吻合：讨论停留在"攻击实验"和"概念验证"层面，还没有出现商业产品、没有 CVE 编号体系、没有合规框架引用。判断：这是真实的技术议题而非纯社区热点，因为触发它的是协议层的结构性缺陷（策略声明与执行不一致），这类问题不会自行消失，只会随部署量放大。但它当前处于"研究者自娱"阶段，距离"企业愿意掏钱"还有 6-12 个月的滞后期。机会分、市场分、需求分均为 0/100，说明量化模型尚未捕捉到任何商业转化信号——这正是早期介入的窗口，也是最大的不确定性来源。独立开发者应把它当作"提前布局"而非"立即变现"的信号。

Who's Behind It（谁在推动）

庄家是协议制定方与安全研究社区的两股力量。Anthropic 作为 MCP 规范的主导者，其安全公告和规范修订节奏决定了整个议题的走向；微软和 OpenAI 作为采纳方，其企业安全团队的公开研究会影响采购决策。实际推动讨论的是独立安全研究者和小型红队——devcommunity 与 HN 上的攻击实验帖是典型的研究者自发行为，不是厂商营销。目前没有看到任何商业化玩家（如 Snyk、Semgrep 这类应用安全厂商）正式入场 MCP 策略测试，这是关键空白。开源社区方面，MCP 官方 SDK 和若干 MCP 网关项目（如 MCP proxy 类工具）会是被攻击和需要加固的对象，它们的维护者是潜在的渠道合作方而非竞争对手。

TAM & Market Size（市场规模）

潜在用户分三层。第一层是直接部署 MCP 服务器的工程团队：全球活跃 MCP 服务器项目保守估计在 1-3 万个量级，对应 5-15 万名开发者，这是工具型产品的核心盘。第二层是企业安全团队：任何在 2027 年把 Agent 接入生产的企业都需要 MCP 安全审计，这个群体规模在数千家到数万家。第三层是合规与审计场景，规模最大但成熟最晚。付费意愿呈明显分层：开发者个人对安全工具付费意愿低（习惯开源），企业安全团队付费意愿高（有预算科目），单笔年费可达 5,000-50,000 美元。市场处于增长初期而非稳定期，但当前需求分为 0/100 意味着"愿意付费"尚未被验证——这是典型的"预算存在但采购路径未打通"状态。结论：TAM 不小，但 2026-2027 年的可触达市场（SAM）只覆盖早期采用者，收入天花板在百万美元级而非千万级。

Competitive Landscape（竞争格局）

竞争分 0/100 反映的是"没有直接竞品"，而非"竞争不激烈"——空白本身就是机会。现有相关玩家分三类：一是通用应用安全扫描器（Snyk、Semgrep、Checkmarx），它们有渠道和品牌，但 MCP 策略语义不在其规则引擎里，做的是通用 SAST/DAST，对"策略侧门"这种协议特定漏洞无能为力；二是 MCP 网关与代理产品（各类 MCP proxy、gateway 开源项目），它们做的是流量管控而非攻击测试，是互补而非竞争；三是零散的开源攻击脚本，无产品化、无维护。差异化机会明确：做"专攻 MCP 策略层的测试工具"，把攻击用例库产品化。大公司会不会做？会——Snyk 这类厂商在 MCP 出现首个高危 CVE 后会快速跟进。时间窗口估计 9-15 个月，独立开发者必须在通用安全厂商反应过来之前建立用例库护城河和社区认知。

Business Model（商业模式）

推荐"开源核心 + 付费云端"的混合模式，而非纯订阅或纯一次性。理由：安全工具的信任建立依赖代码可见性（开源核心降低采用门槛），但持续更新的攻击用例库和报告托管是天然的订阅价值。定价建议三档：Free（单次扫描、本地运行、限 5 个测试用例）用于获客；Pro 每月 49-99 美元（CI/CD 集成、完整用例库、历史对比）面向独立开发者和小团队；Team 每年 4,800-9,600 美元（多席位、策略基线管理、合规报告导出）面向企业安全团队。依据是同类开发者安全工具（如依赖扫描类 SaaS）的定价带。12 个月收入预测：保守 8,000 美元（约 60 个 Pro 用户，无企业单）、基准 35,000 美元（150 个 Pro + 2 个 Team 单）、乐观 90,000 美元（300 个 Pro + 6 个 Team 单 + 1 个定制审计项目）。用户获取成本估算：开发者社区渠道（HN、dev.to、GitHub）CAC 约 15-30 美元，回本周期 2-3 个月；企业渠道 CAC 高达 2,000-5,000 美元，回本周期 8-12 个月，所以第一年应主攻开发者侧。

MVP Blueprint（MVP 蓝图）

核心功能只保留四项：①MCP 服务器连接器（支持 stdio 与 HTTP 两种传输，读取 tools/list 与策略声明）；②策略绕过用例库（首批 15-20 个手工编写的攻击用例，覆盖工具权限越界、参数注入、WebMCP 会话劫持三类）；③自动化执行引擎（对目标服务器逐条跑用例，记录响应差异）；④HTML 报告生成（标红绕过成功的用例，附复现步骤）。砍掉：仪表盘、用户系统、CI 集成、多租户——第一版全部不要。

技术栈：Python（MCP 官方 SDK 是 Python/TS 双语言，Python 生态的安全工具链更成熟）+ FastAPI 做本地服务 + SQLite 存用例与结果 + Jinja2 渲染报告。前端零框架，纯静态 HTML。部署用单文件 CLI 加 Docker 镜像，发布到 PyPI 和 GitHub Releases。

最快上线路径：直接 fork 一个现有的 MCP 客户端示例仓库，把"调用工具"改成"测试工具"，用例库用 YAML 定义以便社区贡献。第一周做出可跑通 5 个用例的原型，第二周补齐用例库和报告，第三周发 HN 和 dev.to 引流。预估开发天数按此路径控制在 5-7 天。

Commercial Opportunities（商业化机会）

方向一：MCP 策略测试 CLI + 云端用例库。目标用户是部署 MCP 服务器的后端与安全工程师，月收入预期 2,000-8,000 美元。优于其他方向的原因：开发成本最低、与现有工作流（CI）契合、开源传播最快。

方向二：MCP 安全审计服务（人肉 + 工具）。目标用户是准备上生产的企业，单项目报价 3,000-15,000 美元，月收入预期 5,000-20,000 美元。优势是现金流快、能反哺用例库，劣势是不可规模化，适合作为早期造血手段。

方向三：MCP 策略基线管理 SaaS。目标用户是同时运行多个 MCP 服务器的中大型团队，月收入预期 3,000-12,000 美元。优势是订阅粘性最强、竞争最少，劣势是销售周期长，应在方向一积累 50+ 用户后再启动。三个方向的优先级：先一、再二、后三。

Product Ideas（产品创意）

🥇 MCPLint — 一句话："MCP 服务器的策略层单元测试框架，像 ESLint 一样跑在 CI 里。"目标用户是 MCP 服务器开发者与安全工程师，场景是每次提交代码自动跑策略绕过用例。时机判断：协议刚标准化、CI 集成尚属空白，抢注"lint"心智的成本最低。开源 CLI + 付费云端报告。

🥈 SideDoor Lab — 一句话："WebMCP 会话劫持的在线靶场与检测器。"目标用户是浏览器安全研究者与前端团队，场景是上传网页或 MCP 端点，自动检测会话劫持风险。时机判断：WebMCP 攻击实验刚在社区出现、尚无工具化产品，先发者定义检测标准。

🥉 PolicyDiff — 一句话："追踪 MCP 服务器策略声明的变更与漂移。"目标用户是运维多个 MCP 服务器的平台团队，场景是策略被静默修改时告警。时机判断：企业部署量上升后"策略漂移"必然成为运维痛点，现在做可提前卡位。

SEO Opportunity（SEO 机会）

搜索量趋势：上升但绝对量极小，属于"零搜索竞争"的早期词。有价值的长尾关键词：MCP policy bypass、WebMCP attack、MCP server security testing、MCP tool poisoning vs policy bypass、MCP 策略绕过。SEO 难度 0/100 意味着几乎无竞争，任何高质量页面都能排第一。内容策略：优先做"攻击复现教程 + 防御建议"型技术长文，其次做用例库的 GitHub Pages 文档站，用具体 CVE 式编号命名用例以捕获精准搜索。

Risk Assessment（风险评估）

判断可能错在：MCP 协议被某个竞争标准（如 OpenAI 的替代方案）边缘化，或 Anthropic 在规范层直接内置策略验证，使第三方测试工具失去价值。三大风险：技术风险——协议快速迭代导致用例库频繁失效，维护成本高；市场风险——企业安全预算在 2027 年收缩，安全工具采购被推迟；执行风险——通用安全厂商提前入场，用渠道优势碾压独立产品。最低成本验证方式：先写 3 篇攻击复现技术文章发到 HN 和 dev.to，看 30 天内是否获得 50+ 收藏和 10+ 评论；同时开源一个只有 5 个用例的 CLI，观察 GitHub star 增速。放弃信号：三个月内文章互动低于 20、CLI star 低于 100、且没有企业主动询价——三者同时出现就说明这是研究话题而非商业需求。

Action Plan（行动建议）

第一步（今天）：在 GitHub 建一个公开仓库 mcp-policy-testing，写 README 列出你已知的 5 个策略绕过场景，不写代码，先占位并观察 star 与 issue。第二步（本周）：基于 MCP 官方 Python SDK 写一个 200 行的脚本，跑通 3 个用例，录屏发到 dev.to 和 HN。第三步（信号确认后）：把脚本产品化为 CLI，补齐 15 个用例，发布 PyPI，同时上线一个落地页收集邮箱。时间线：第一周完成仓库 + 首篇文章；第一个月完成 CLI v0.1 + 50 个邮箱订阅；第三个月根据订阅转化决定是否启动付费云端，若转化率低于 3% 则转向审计服务模式。全程控制在零服务器成本，用 GitHub Pages 和 PyPI 承载。

Related Terms（相关趋势）

• MCP Tool Poisoning — 子领域与前置议题，策略测试是其深化方向
• WebMCP — 依赖关系，WebMCP 的出现直接创造了策略侧门这一攻击面
• AI Agent Security — 上位领域，MCP Policy Testing 是其在协议层的具体分支