AI 连接器：把 ChatGPT 和 Claude 连到你的应用第 4 节，共 4 节

AI 连接器安全吗？连接应用之前先检查什么

Mindket 编辑部 · 发布于 2026年11月6日 · 阅读约 6 分钟

黑色横幅，标题是“AI 连接器”，下面是“把 ChatGPT 和 Claude 连到你的应用”。

把应用连到 ChatGPT 或 Claude 之前，检查四件事：你连的是哪个账号，权限允许做什么，谁审核过这个连接器，以及 AI 什么时候必须先问你。连接器能读你的邮件和文档，藏在里面的指令能左右 AI。能只读就只读，每个操作都由你自己批准。

本节内容

只连够用的账号和权限，不要更宽，应用提供只读选项的话，从只读开始。
让每个操作都要批准，接受之前把每个请求读一遍。
浏览网页和读邮箱，放在不同的对话里。
连接工作账号之前，先问问公司的 IT 团队有什么规定。

全部课程

本页目录

开始之前
一封邮件怎样左右带着连接器的 AI
连接应用之前的七项检查
为什么只靠每次都问还不够
各种风险的样子，以及资料说什么能降低它
工作账号，先问再连
常见错误
自己试一试
下一门课：AI 图像与视频
自测一下
常见问题
资料来源

开始之前

这一课围绕四个词。权限范围（scope）是一个应用在你登录时索取的一项权限，比如读取你的文件。最小权限是指只授予一项工作需要的权限范围。批准提示是 AI 停下来、先问你再动手的那一刻。提示词注入（prompt injection）是藏在邮件、网页或文件里的一段文字，它告诉 AI 去做某件事，所以这条指令来自内容，而不是来自你。

Anthropic 2026 年 5 月 25 日的工程博客说，模型层面的防护永远不可能百分之百有效，所以不能单靠它。因此这一课把篇幅花在你能控制的事情上：账号、权限、批准，以及你放进来的内容。

一封邮件怎样左右带着连接器的 AI

OWASP 的大模型应用十大风险描述过这种情况。一个个人助理加装了邮件扩展，用来概括收到的邮件，这个扩展还带有发送功能。一封恶意邮件通过间接提示词注入，让 AI 在收件箱里搜出敏感数据，再转发给攻击者。OWASP 把间接注入定义为 AI 接受来自网站或文件这类外部来源的输入。

OpenAI 的 API 指南给了第二种形态。一个网页可以让模型去 CRM 里查一位客户，并把对方的电子邮箱放进一个网址里，工具明明只读，数据照样会泄露出去。OpenAI 的建议是，公开的网页查询要和内部查询分开运行。

两个故事的中间那一步是一样的。AI 照着它在内容里找到的指令去做，用的却是你为另一件事授予它的权限。

审核过的连接器，不等于审核过的数据。

Anthropic, 工程博客，2026 年 5 月 25 日，引文为译文 · Anthropic 工程博客 (2026年11月6日查阅)

连接应用之前的七项检查

按这个顺序来。下面的框是一份便条，你为每个连接都可以复制一份。

应用：
我连接的账号（工作还是个人）：
它索取的权限范围（读还是修改）：
谁在运营它，是否在厂商的目录里：
批准设置：每次都问
里面有哪些数据，是我不会贴进对话的：
我下次复查这个连接的日期：

选账号。OpenAI 的教程说，连接之前要检查账号和所请求的访问权限。连这项工作需要的那个账号，而不是存着一切的那个。
读权限范围。drive.readonly 和 Mail.Read 这样的名字写的是读，gmail.modify 写的是修改。第 1 课里有对照表。
挑最窄的工具。OWASP 说，只给 AI 它需要的扩展，扩展里只放需要的功能，并避免开放式的扩展。邮件概括工具用不着发送按钮。
问问谁审核过。Anthropic 说，它的连接器目录有持续的审核，目录之外的一切都应当视为不可信。OpenAI 说，它没有验证过的远程服务器可以访问、发送和接收数据，并建议优先用服务提供方自己运营的官方服务器。
把批准设成每次都问。OpenAI 的更新日志说，ChatGPT 用户可以选择已连接的应用在什么时候请求权限：每次都问、修改之前问，或者只在重要修改之前问。先选每次都问。Anthropic 说，对 Gmail 和 Drive，什么时候需要你批准由你控制。
让不可信的内容各归各处。OpenAI 的 API 指南把公开的网页搜索放在一次请求里，把内部查询放在第二次请求里。在聊天应用里，同样的思路是 Mindket 的建议：网页浏览放在一个对话里，处理邮箱放在另一个对话里。
读过再批准。OWASP 要求对高风险操作由人来批准，而这只有在人真的读了请求时才管用。

为什么只靠每次都问还不够

Anthropic 的文章报告了 Claude Code 对每个操作都请求权限时发生的事：用户批准了大约 93% 的提示。文章的解读是，用户看到的批准越多，对每一次就越不上心。Anthropic 还说，操作系统级别的沙箱让权限提示减少了 84%，这更支持设硬限制，而不是多问几次。

同一篇文章引用了 Gray Swan 的基准测试：Claude Opus 4.7 在单次尝试中把攻击成功率压到约 0.1%，经过 100 次自适应尝试后约为 5% 到 6%。概率再低也是概率。守住的办法是收窄访问权限，并把提示当作最后一道检查。

Anthropic 2026 年 5 月 25 日文章里关于批准和注入的数字

93%

用户批准的 Claude Code 权限提示的比例，来自 Anthropic 的遥测数据

来源：Anthropic：我们怎样约束 Claude (2026年11月6日查阅)

84%

给 Claude Code 加上操作系统级沙箱之后，权限提示减少的比例

来源：Anthropic：我们怎样约束 Claude (2026年11月6日查阅)

0.1%

Gray Swan 的基准测试里，针对 Claude Opus 4.7 单次尝试的攻击成功率，这是 Anthropic 的转述

来源：Anthropic：我们怎样约束 Claude (2026年11月6日查阅)

5 到 6%

对同一个模型做 100 次自适应尝试之后的攻击成功率

来源：Anthropic：我们怎样约束 Claude (2026年11月6日查阅)

各种风险的样子，以及资料说什么能降低它

取自 GitHub 上 OWASP 的大模型十大风险页面、OpenAI 的 API 指南和 Anthropic 的工程博客，读于 2026 年 11 月 6 日。
风险	它的样子	什么能降低它
内容里的隐藏指令	AI 读到的网页或文件，让它通过图片链接泄露对话	把外部内容标为不可信，并和你自己的数据隔开（OWASP LLM01）
权限过大	一个能概括邮件、也能发邮件的工具	只读的权限范围、更少的功能、每次发送都要批准（OWASP LLM06）
批准疲劳	用户看到的提示太多，对每一个就不上心	收窄权限、设硬限制，而不是多问几次（Anthropic）
之后会变的服务器	托管的服务器可以在你批准之后随时改变行为	优先用目录和官方服务器，先用假数据测试（Anthropic、OpenAI）
公开查询造成的泄露	一个网页左右了对内部数据的查询	公开的网页查询和内部查询分开运行（OpenAI）

工作账号，先问再连

OpenAI 关于连接插件的页面说，账号和工作区的政策适用于在 ChatGPT 里添加和使用自定义 MCP 服务器。它的更新日志还说，用户和管理员都可以设置已连接应用的权限提示。对 Claude 桌面应用，Anthropic 的工程博客列出了管理员能对扩展使用的几项控制。有 Windows 上的组策略和 macOS 上的 MDM、预装经过批准的扩展、对扩展或发布者的黑名单，以及私有目录。

这些设置的名字你不必记住。连接工作账号之前，向公司的 IT 团队问三个问题：我能不能添加自定义服务器，批准设置是什么，允许用哪些扩展。

常见错误

凭反射点批准。Anthropic 对 Claude Code 的遥测数据显示，用户批准了大约 93% 的权限提示。那是开发者的提示，不是 Gmail 的，但道理一样：提示只有在你读过的日子里才保护你。
把审核过的连接器当成审核过的内容。干净的连接器照样可能读进一份被下了毒的文档。
给概括工具发送权。工作只是读，权限范围就该写读。
把网页浏览和处理邮箱放在同一个对话里。网页可能带着指令，AI 会带着访问你邮件的权限去照着做。
把模型的拒绝当成防线。模型层只是几道防线中的一道。

自己试一试

为一个你已经连接的应用填一份检查便条，并根据它显示的内容改一项设置。
把那个应用的批准改成每次都问，再发一个需要写入的请求。
随手翻十封最近的邮件，把给读信人下达指令的句子标出来。然后写下哪些已连接的应用能把这条指令执行下去。
删掉一个你不再用的连接。

下一门课：AI 图像与视频

连接器让 AI 能处理你的邮件和文件。下一门课转向做图片和短片，第一课是怎样写图像提示词。

自测一下

一个邮件概括工具还带有发送功能，一封恶意邮件让它转发你的收件箱。OWASP 说怎样可以避免这种情况？
查看答案
B. 把它限制在只读的邮件功能和只读的 OAuth 权限范围内 OWASP 的场景列出：只读邮件的扩展、只读的 OAuth 权限范围，以及由人审阅并发送每一封起草的邮件。
在 Anthropic 的遥测数据里，用户批准了大约多少比例的 Claude Code 权限提示？
查看答案
C. 约 93% Anthropic 2026 年 5 月 25 日的文章说，用户批准了大约 93% 的权限提示。
对于公开的网页查询和内部的 CRM 查询，OpenAI 建议怎么做？
查看答案
A. 分开运行 OpenAI 的 API 指南建议，公开的网页查询要和内部的 CRM 查询分开运行，因为网页可能左右一次查询。
“审核过的连接器，不等于审核过的数据”这句话在警告什么？
查看答案
D. 审核过的连接器仍可能读进被下了毒的内容 Anthropic 举的例子是：一个通过了检查的连接器，照样把一份被下了毒的文件读进模型的上下文。

常见问题

把 Gmail 连到 ChatGPT 或 Claude 安全吗？

连接只读、账号是你想要的那个、批准又是打开的，就比较安全。没有哪个设置能消除隐藏指令的风险，所以即便如此，也要把访问权限收窄。

提示词注入怎样绕过连接器？

连接器只是把取回的内容交给 AI。OWASP 说，只要模型会解析这些内容，即使人看不见，隐藏的指令也照样起作用。它的例子里有一个网页，让模型通过图片链接把对话泄露出去。

AI 能不问我就发邮件吗？

只有你允许才行。两家厂商都把批准设置交给你，所以一开始选最严的，读过几个请求以后再放宽。

只读连接器是什么意思？

意思是你授予的权限只包含读取，不包含修改。drive.readonly 和 Mail.Read 这样的权限范围名字就写明了这一点，OWASP 也建议给邮件概括工具用只读的 OAuth 权限范围。

怎样知道一个连接器审核过？

到厂商自己的目录里去找，在别处找到的服务器，一律当作没审核过。权限范围、批准设置和先用假数据，这几项在两种情况下都适用。

资料来源

Anthropic: How we contain Claude (2026年11月6日查阅)https://www.anthropic.com/engineering/how-we-contain-claude
Anthropic: Desktop Extensions (2026年11月6日查阅)https://www.anthropic.com/engineering/desktop-extensions
OWASP: LLM01 Prompt Injection (2026年11月6日查阅)https://github.com/OWASP/www-project-top-10-for-large-language-model-applications/blob/main/2_0_vulns/LLM01_PromptInjection.md
OWASP: LLM06 Excessive Agency (2026年11月6日查阅)https://github.com/OWASP/www-project-top-10-for-large-language-model-applications/blob/main/2_0_vulns/LLM06_ExcessiveAgency.md
OpenAI: Tools, connectors and MCP (API guide) (2026年11月6日查阅)https://developers.openai.com/api/docs/guides/tools-connectors-mcp
OpenAI: Plugins security and privacy (2026年11月6日查阅)https://developers.openai.com/plugins/guides/security-privacy.md
OpenAI: Plugins changelog (2026年11月6日查阅)https://developers.openai.com/plugins/changelog
OpenAI: Plugins and skills walkthrough (2026年11月6日查阅)https://developers.openai.com/training/walkthroughs/plugins-and-skills
OpenAI: Connect and test your plugin (2026年11月6日查阅)https://developers.openai.com/plugins/deploy/connect-chatgpt.md
Claude (@claudeai) on X: Gmail and Drive update (2026年11月6日查阅)https://x.com/claudeai/status/2089806039088517356

读一读 MCP 服务器的安全

Mindket 关于 MCP 服务器安全的指南，讲了一台服务器能碰到什么，以及添加之前怎样检查。

阅读指南

本节课的 Markdown 版本 · AI 连接器：把 ChatGPT 和 Claude 连到你的应用 · 全部课程