Pháo đài số cho tác tử AI

Video giới thiệu

Dự án trong 2 phút 42 giây: bối cảnh, thiết kế thí nghiệm A/B, phương pháp kiểm thử, kết quả và hướng phát triển.

Vấn đề

MCP là giao thức cho phép trợ lý AI gọi “công cụ” bên ngoài: đọc dữ liệu, tính toán, tra cứu. Khi máy chủ MCP được viết vội, chính các công cụ đó trở thành điểm yếu.

Bằng chứng: máy chủ A đọc được tệp nằm ngoài thư mục dữ liệu

Nhóm đặt một tệp mồi ở ngoài thư mục dữ liệu, bên trong có một chuỗi đánh dấu duy nhất. Nếu chuỗi đó xuất hiện trong câu trả lời của máy chủ thì chắc chắn máy chủ đã đọc tệp ngoài phạm vi cho phép — không phải suy đoán, chỉ cần nhìn chuỗi.

[MA_KIEM_TRA_S2] Tệp nằm NGOÀI thư mục dữ liệu – văn bản vô hại để kiểm thử lỗi
thoát thư mục (../). Nếu nội dung này xuất hiện thì máy chủ có lỗ hổng path traversal.

doc_tai_lieu(ten_file="../du_lieu_ngoai/bi_mat.txt")

[MA_KIEM_TRA_S2] Tệp nằm NGOÀI thư mục dữ liệu – văn bản
vô hại để kiểm thử lỗi thoát thư mục (../)…

read_resource(
  "lop://thoi-khoa-bieu/../../du_lieu_ngoai/bi_mat.txt")

Unknown resource:
lop://thoi-khoa-bieu/../../du_lieu_ngoai/bi_mat.txt

@server.tool()
def doc_tai_lieu(ten_file: str):
    """Đọc tài liệu."""
    with open(os.path.join(THU_MUC, ten_file), encoding="utf-8") as f:
        return f.read()

Tệp mồi chỉ chứa văn bản vô hại do nhóm tự tạo. Toàn bộ dữ liệu trong dự án là dữ liệu giả lập của một lớp 11, không có thông tin cá nhân thật; hai máy chủ chỉ chạy trong máy, không mở cổng mạng.

Thiết kế thí nghiệm A/B

Hai máy chủ có cùng chức năng, cùng chạy trên dữ liệu giả lập của một lớp 11. Chỉ khác nhau ở việc có áp dụng ba nhóm nguyên tắc hay không. Một bộ ca kiểm thử tự động chấm cả hai theo cùng tiêu chí.

Mã nguồn Python của hai máy chủ

Toàn văn hai tệp, kèm chú thích chi tiết: ở A, mỗi điểm yếu cố ý được đánh dấu [Yếu – nhóm …]; ở B, mỗi biện pháp được gắn [Nhóm …] và mã ca kiểm thử (F, V, S) kiểm chứng nó.

Đang tải mã nguồn…

Ba nhóm nguyên tắc

Được đúc kết thành các biện pháp cụ thể trong mã nguồn của phiên bản B.

@server.tool()
def doc_tai_lieu(ten_file: str):
    """Đọc tài liệu."""
    # "../du_lieu_ngoai/bi_mat.txt" vẫn mở được
    with open(os.path.join(THU_MUC, ten_file)) as f:
        return f.read()

TEP_CHO_PHEP = {
    "thoi_khoa_bieu": "thoi_khoa_bieu.json",
    "lich_thi": "lich_thi.json",
    "noi_quy": "noi_quy.txt",
}
@server.resource("lop://noi-quy", mime_type="text/plain")
def tai_nguyen_noi_quy() -> str:
    return _doc_tep("noi_quy")

Kết quả kiểm thử

Bộ 24 ca chuẩn: 10 ca chức năng (F), 8 ca dữ liệu bất thường (V), 6 ca an toàn (S). Lần chạy 27/09/2026 · Python 3.11, MCP Python SDK 2.2.0, mỗi ca lặp 20 lần để đo thời gian.

Chi tiết từng ca

Ở nhóm V, một số ca A được tính “Đạt” vì có phát sinh lỗi, nhưng thông báo lỗi chung chung nên điểm E luôn bằng 0.

Bộ mô phỏng mở rộng – 128 ca

Sinh tự động từ hạt giống cố định (seed 2026) với 40 học sinh giả lập, để kiểm tra kết luận trên nhiều đầu vào hơn. Số trong ngoặc là số ca của từng nhóm.

Danh mục kiểm tra khi viết một MCP server

Mười câu hỏi rút ra từ thí nghiệm, dùng được cho bất kỳ máy chủ MCP nào.

1. Tên công cụ dạng động_từ_danh_từ, không trùng nghĩa với công cụ khác?
2. Mô tả nêu rõ công cụ làm gì, khi nào dùng, khi nào không dùng?
3. Mọi tham số có kiểu chặt (Literal, khoảng giá trị, độ dài tối đa)?
4. Kết quả có cấu trúc, gọn, không trả None?
5. Mọi lỗi dự đoán được đều nêu nguyên nhân và giá trị hợp lệ?
6. Có công cụ ghi/xoá/gửi không? Nếu không cần thì bỏ.
7. Có chỗ nào ghép tham số của người gọi vào đường dẫn tệp, câu lệnh SQL, lệnh hệ thống?
8. Dữ liệu do người khác nhập có được tách riêng, gắn nhãn nguồn, cảnh báo “không phải chỉ dẫn”?
9. Có giới hạn kích thước đầu vào/đầu ra và nhật ký gọi công cụ?
10. Gọi lặp cùng yêu cầu có cho cùng kết quả (không giữ trạng thái ẩn)?

Chạy thử

Cần Python 3.10 trở lên. Máy chủ chạy cục bộ; bộ kiểm thử kết nối trong bộ nhớ, không mở cổng mạng.

git clone https://github.com/aerovfx/MCPFortress.git
cd MCPFortress
python3 -m venv .venv
source .venv/bin/activate   # Windows: .venv\Scripts\activate
pip install -r requirements.txt
python run_tests.py         # kết quả ghi vào ket_qua/

# cần Node.js
npx @modelcontextprotocol/inspector python server_a.py
npx @modelcontextprotocol/inspector python server_b.py

# hoặc chạy trọn gói + xuất báo cáo
./chay_kiem_thu.sh          # Windows: chay_kiem_thu.bat