1. 恶意 MCP 服务器劫持 Cursor 内置浏览器到底怎么发生的
MCP 服务器劫持 Cursor 内置浏览器，指的是第三方 MCP 服务在工具描述里塞入对 AI 可见、对用户不可见的隐藏指令，Cursor 的 Agent 解析后把这些指令当成正常任务执行，最终把恶意 JS 注入到内置浏览器进程里。它能让攻击者在不改变地址栏 URL 的前提下替换页面内容、伪造登录框、读取 Cookie 与浏览历史，甚至借 Cursor 的开发者权限执行系统命令。适合谁关注：所有在 Cursor 里挂了第三方 MCP 服务、尤其是用 Cline MCP 做自动化浏览或多步 Agent 任务的开发者。
我先把攻击链路拆成五步，你对照自己的配置看卡在哪一环：
第一步，你在~/.cursor/mcp.json里添加了一个来源不明的 MCP 服务器，比如某个"一键抓取网页并总结"的开源服务。第二步，Cursor 启动时向该服务器请求工具清单，服务器在tools/list返回的工具描述里夹带隐藏指令，常见手法是用[hidden-instruction]、HTML 注释或零宽字符包裹。第三步，你在对话里让 Agent 调用这个工具，Cursor 把工具描述整体喂给模型，模型把隐藏指令当成用户意图的一部分。第四步，恶意代码被拼进浏览器操作，通过document.write或history.pushState完成页面替换且 URL 不变。第五步，表单提交指向攻击者域名，凭证、Cookie、历史记录被打包外发。
关键漏洞点有三个，理解它们才能对症下药。MCP 协议本身对工具描述没有强制完整性校验，服务器返回什么客户端就信什么；Cursor 没有对 MCP 返回的浏览器操作指令做安全过滤，浏览器操作和普通工具调用走同一条信任路径；内置浏览器基于 Electron，和 IDE 共享权限上下文，一旦浏览器被控，文件系统和命令执行权限就一起暴露。
这里要区分两类风险。一类是"工具描述注入"，恶意内容藏在描述文本里，靠模型解析触发；另一类是"返回值注入"，工具执行结果里带指令，回传给模型时被当成新任务。前者在连接阶段就埋好，后者在每次调用时都可能出现。防御要同时覆盖这两条路径，只查mcp.json的来源白名单是不够的，还得管住请求出口。
我试过把 MCP 调用全部收敛到统一 API 通道，再对出口做来源审计，这样即使某个 MCP 服务器被污染，异常外发请求也会在通道层暴露出来。下面几节就按"白名单配置 → Base URL 校验 → 统一 Key 审计 → 排障"的顺序给出可复制的做法。
2. TaoToken 前置准备：统一 Key 与 API 通道
在动手配白名单之前，先把请求出口统一掉。核心思路是：不让每个 MCP 服务器各自持有五花八门的 Key 和 Base URL，而是让它们统一走 TaoToken 的 API 通道，这样所有出站请求的来源、模型、调用量都能在一处审计。一旦某个 MCP 服务器被污染、开始向陌生域名外发数据，你在通道侧就能看到异常调用模式。
你需要准备三样东西，我把它叫"三件套"，后面所有配置都围绕它展开：
- Base URL：
https://taotoken.net/api - API Key：在控制台创建，建议按用途分 Key，MCP 专用一个
- Model ID：按你实际使用的模型填写，比如
claude-sonnet-4-5这类标识，以控制台展示为准
创建 Key 的入口在控制台的 API Keys 页面，地址是https://taotoken.net/console/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=defense_guide&utm_campaign=rewrite。进去后新建一个 Key，命名建议带mcp-前缀，方便后续在审计日志里按 Key 过滤。创建完立刻复制保存，页面刷新后不再完整显示。
模型对话的调试入口在https://taotoken.net/chat?utm_source=taotoken_aicg_blog_end&utm_content=defense_guide&utm_campaign=rewrite，你可以先用它验证 Key 和模型 ID 是否匹配，再去配 MCP。接入文档在https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=defense_guide&utm_campaign=rewrite，里面有各客户端的字段对照，配 Cline MCP 时对着看能少踩坑。
为什么这一步对防御重要？因为 MCP 劫持的最终目的是把数据送出去。如果每个 MCP 服务器都能自由指定 Base URL 和 Key，你就失去了统一观测点。把出口收敛到 TaoToken 后，你至少获得三个能力：按 Key 区分调用来源、按时间线回看异常调用、在发现污染时一键吊销单个 Key 而不影响其他服务。这不是替代 Cursor 的安全机制，而是在它之外加一层可观测的出口。
如果你做长期编码或跑多步 Agent 任务，建议用 Coding Plan 统一管理额度与 Key，入口在https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=defense_guide&utm_campaign=rewrite。这样 MCP 调用和日常编码共用一套通道，审计时不用在两个地方对账。
3. 可复制配置：MCP 白名单 + Cursor Base URL 校验
这一节给可直接粘贴的配置。先备份原文件，再改。
3.1 MCP 服务器白名单配置
Cursor 的 MCP 配置在~/.cursor/mcp.json。不要直接删掉现有条目，先重命名为mcp.json.bak留底，然后写入下面这份带白名单注释的配置。注意：JSON 不支持注释，所以白名单靠命名约定和单独字段体现，我在示例里用_allowlist字段记录审核信息，实际生效的是mcpServers下的条目。
{ "mcpServers": { "trusted-fetch": { "command": "npx", "args": ["-y", "@your-org/trusted-fetch-mcp@1.2.3"], "env": { "TAOTOKEN_BASE_URL": "https://taotoken.net/api", "TAOTOKEN_API_KEY": "${TAOTOKEN_MCP_KEY}", "TAOTOKEN_MODEL_ID": "claude-sonnet-4-5" }, "_allowlist": { "source": "official", "pinned_version": "1.2.3", "reviewed_at": "2025-11-20", "reviewer": "self" } } } }三个要点。第一，args里锁定版本号，不要用latest，防止"地毯式骗局"——你审核时是干净版本，下次启动拉到被污染的版本。第二，Key 用环境变量引用${TAOTOKEN_MCP_KEY}，不要把明文写进mcp.json，这个文件容易被同步到云端或误提交。第三，_allowlist字段是你的审核台账，每次新增服务器都填，团队协作时能看出谁在什么时候审过什么。
如果你用 Cline MCP，配置位置在 Cline 的 MCP 设置面板里，字段名和上面一致，同样要写全 Base URL、Key、Model ID 三件套。Cline 的配置界面会把env展开成表单，逐项填即可，别漏掉 Model ID，否则调用会报模型不存在。
3.2 Cursor Base URL 校验步骤
Cursor 自身调用模型也有 Base URL 设置，在设置里搜索OpenAI API Key或Base URL相关项。校验动作分三步：
第一步，打开 Cursor 设置，找到模型提供商配置区，确认 Base URL 指向https://taotoken.net/api，而不是某个陌生域名。第二步，检查 API Key 是否为你刚创建的 MCP 专用 Key，不要和编辑器主 Key 混用。第三步，保存后重启 Cursor，让 MCP 服务器重新握手。
校验时重点看两处。一是mcp.json里每个服务器的env.TAOTOKEN_BASE_URL是否都是同一个值，出现第二个不同域名就要警惕。二是 Cursor 设置里的 Base URL 是否和 MCP 配置一致，不一致说明有请求绕过了统一通道。
3.3 浏览器安全头补充配置
在项目根目录创建.cursorrules，加入基础安全头，降低 XSS 和点击劫持面：
{ "headers": { "Content-Security-Policy": "default-src 'self'; script-src 'self' https://trusted-domains.com", "X-Frame-Options": "DENY", "X-XSS-Protection": "1; mode=block" } }这份配置不能替代白名单，它只影响页面渲染层的防护，对工具描述注入无效。两者叠加用。
4. 验证请求与成功结果
配完要验证，否则你不知道白名单是否真的生效。分三个验证动作。
4.1 验证 MCP 服务器清单
在终端执行：
cat ~/.cursor/mcp.json | python3 -m json.tool输出能正常解析说明 JSON 没写坏。再过滤出非白名单条目：
cat ~/.cursor/mcp.json | grep -vE "trusted|official|known-service"如果输出里出现你不认识的服务器名，说明有未授权条目，回到第 3 节清理。
4.2 验证统一通道连通性
用 curl 直接打 TaoToken 的 API，确认 Key 和 Base URL 可用：
curl -sS https://taotoken.net/api/v1/models \ -H "Authorization: Bearer $TAOTOKEN_MCP_KEY" \ -H "Content-Type: application/json" | head -c 500返回模型列表 JSON 说明通道正常。如果返回 401，见第 5 节排障。这一步的意义是：把 MCP 调用依赖的通道单独验证一遍，排除"是 MCP 配置问题还是 Key 问题"的混淆。
4.3 验证请求来源审计
在 TaoToken 控制台的调用日志里，按你创建的 MCP 专用 Key 过滤，然后触发一次 Cline MCP 的浏览类工具调用。成功的结果是：日志里出现一条来自该 Key 的调用记录，模型 ID 与你配置的一致，时间戳对得上你刚才的操作。如果触发后日志里没有新记录，说明请求没走统一通道，某个 MCP 服务器还在用自己内置的 Base URL，回到第 3.1 节检查env。
三个验证都通过后，你的防御基线就建好了：白名单控制入口，统一通道控制出口，审计日志提供可观测性。后续新增 MCP 服务器时，重复第 3.1 节的审核流程即可。
5. 本篇常见错排查
这一节对照真实报错给处置方法。
401 Unauthorized。最常见原因是 Key 没传对。检查三处：mcp.json里${TAOTOKEN_MCP_KEY}对应的环境变量是否在当前 shell 会话里 export 了；Key 是否被控制台吊销；请求头是不是Authorization: Bearer格式。如果 curl 能通但 MCP 报 401，说明 MCP 进程没继承到环境变量，把 Key 写进 Cline 的 MCP 设置表单里再试。
local proxy failed。这个报错通常出现在 MCP 服务器启动阶段，说明本地代理或命令启动失败。先确认command和args里的包名、版本号拼写正确，npx -y能否手动跑通。如果手动能跑、Cursor 里报错，多半是 Cursor 的工作目录和环境变量与终端不同，把绝对路径写进command。
reading 'choices' 报错。这是响应结构不符合预期，常见于 Base URL 指向了不兼容的端点，或者 Model ID 填错导致返回体里没有choices字段。核对 Base URL 是否为https://taotoken.net/api，Model ID 是否与控制台展示一致。用第 4.2 节的 curl 先确认通道返回结构正常，再排查 MCP 侧。
OAuth 相关报错。部分 MCP 服务器要求 OAuth 授权，如果它同时又在工具描述里夹带指令，风险更高。处置原则：能不用 OAuth 类第三方 MCP 就不用；必须用时，确认授权回调域名是你认识的，且该服务器的 Base URL 已收敛到统一通道。授权后回看审计日志，确认没有向陌生域名发起的 token 交换请求。
Codex auth.json 场景。如果你同时用 Codex 类客户端，认证信息在auth.json里，检查其中的 Base URL 字段是否也指向统一通道，别让 Codex 成为绕过审计的第二个出口。三件套（Base URL、Key、Model ID）在 Codex 侧同样要写全。
CC Switch 场景。用 CC Switch 切换配置时，确认切换后的配置里 Base URL 和 Key 仍是统一通道的值，切换动作容易把旧配置带回来。每次切换后跑一遍第 4.2 节的 curl 验证。
排查的通用顺序是：先 curl 验证通道，再验证 MCP 配置解析，最后看审计日志有没有记录。三步定位，比盲目改配置快。
6. 把防御动作固化下来
最后给一份可执行的行动清单，按优先级排：
立即做：清理~/.cursor/mcp.json里所有非白名单服务器，备份原文件；给每个保留的服务器锁定版本号；把 Key 改成环境变量引用。
本周做：把 MCP 调用出口收敛到 TaoToken 统一通道，创建 MCP 专用 Key；跑通第 4 节三个验证；在控制台确认审计日志能看到 MCP 调用记录。
持续做：新增 MCP 服务器时填_allowlist台账；每月回看一次审计日志里的异常调用模式；关注 Cursor 和 MCP 协议的安全更新。
需要复查配置时，接入文档在https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=defense_guide&utm_campaign=rewrite，Key 管理在https://taotoken.net/console/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=defense_guide&utm_campaign=rewrite，模型验证在https://taotoken.net/chat?utm_source=taotoken_aicg_blog_end&utm_content=defense_guide&utm_campaign=rewrite。长期跑 Agent 任务的话，Coding Plan 入口在https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=defense_guide&utm_campaign=rewrite。
防御的本质不是信任某个工具，而是让每条出站请求都有据可查。白名单管住入口，统一通道管住出口，审计日志管住事后追溯，三层叠起来，MCP 劫持的路径就被切断了。
