手动安装的 MCP 服务器直接跑在宿主机上，继承宿主机的凭据和网络访问权限。这意味着一个看似普通的工具接入，实际暴露的攻击面可能远超预期。Stacklok 开源的 ToolHive 平台，正是针对这一运行时安全问题给出的方案。

容器隔离只是第一层

打开网易新闻 查看精彩图片

ToolHive 的核心思路是把每个 MCP 服务器放进独立容器，仅赋予最小化权限文件，不附加任何本地凭据。相比直接运行在宿主机上的手动安装方式，这种隔离能显著降低攻击面。它支持 Docker、Podman 和 Kubernetes 三种运行环境，覆盖从本地开发到集群部署的不同场景。

但文章明确指出，容器隔离只是基础。把它装在笔记本电脑上，获得的是隔离；而治理则是另一个独立的工程。真正的身份强制执行、审计追踪和策略过滤，必须接入已有的身份提供商和遥测体系才能实现。

四个组件构成完整链路

ToolHive 由运行时、注册表服务器、网关和门户四部分组成，分别对应 MCP 服务器的运行、管理、访问控制和用户界面：

  • 运行时负责容器化运行和权限控制
  • 注册表服务器管理服务器目录并验证来源
  • 网关提供单点登录和可观测性
  • 门户提供桌面应用界面

这套架构让 Cursor、Claude Code 等 AI 客户端能够安全地访问外部工具，同时支持 OIDC/OAuth 单点登录、审计日志和策略过滤。对于已经部署身份认证体系的企业来说，ToolHive 的治理能力需要与现有系统打通，而非另起一套孤立方案。

安全边界取决于集成深度

ToolHive 的定位很清晰：容器隔离解决运行时安全，治理能力则依赖身份认证源和遥测体系的接入。两者缺一不可——只有隔离没有治理，审计和策略执行仍然缺失；只谈治理不做隔离，宿主机凭据泄露的风险依旧存在。

对于正在使用 MCP 协议接入外部工具的团队，这个开源平台提供了一个可落地的安全基线。但文章也提醒，真正的治理工程需要投入独立的集成工作，不是装上一个平台就能自动完成。