# AI 连接器安全吗？连接应用之前先检查什么

> 把应用连到 ChatGPT 或 Claude 之前，检查四件事：你连的是哪个账号，权限允许做什么，谁审核过这个连接器，以及 AI 什么时候必须先问你。连接器能读你的邮件和文档，藏在里面的指令能左右 AI。能只读就只读，每个操作都由你自己批准。

Mindket 编辑部 · 发布于 2026-11-06 · 更新于 2026-11-06 · https://mindket.com/cn/learn/ai-connectors/connector-safety

## 要点

- 只连够用的账号和权限，不要更宽，应用提供只读选项的话，从只读开始。
- 让每个操作都要批准，接受之前把每个请求读一遍。
- 浏览网页和读邮箱，放在不同的对话里。
- 连接工作账号之前，先问问公司的 IT 团队有什么规定。

## 开始之前

这一课围绕四个词。**权限范围**（scope）是一个应用在你登录时索取的一项权限，比如读取你的文件。**最小权限**是指只授予一项工作需要的权限范围。**批准提示**是 AI 停下来、先问你再动手的那一刻。**提示词注入**（prompt injection）是藏在邮件、网页或文件里的一段文字，它告诉 AI 去做某件事，所以这条指令来自内容，而不是来自你。

Anthropic 2026 年 5 月 25 日的工程博客说，模型层面的防护永远不可能百分之百有效，所以不能单靠它。因此这一课把篇幅花在你能控制的事情上：账号、权限、批准，以及你放进来的内容。

## 一封邮件怎样左右带着连接器的 AI

OWASP 的大模型应用十大风险描述过这种情况。一个个人助理加装了邮件扩展，用来概括收到的邮件，这个扩展还带有发送功能。一封恶意邮件通过间接提示词注入，让 AI 在收件箱里搜出敏感数据，再转发给攻击者。OWASP 把间接注入定义为 AI 接受来自网站或文件这类外部来源的输入。

OpenAI 的 API 指南给了第二种形态。一个网页可以让模型去 CRM 里查一位客户，并把对方的电子邮箱放进一个网址里，工具明明只读，数据照样会泄露出去。OpenAI 的建议是，公开的网页查询要和内部查询分开运行。

两个故事的中间那一步是一样的。AI 照着它在内容里找到的指令去做，用的却是你为另一件事授予它的权限。

> 审核过的连接器，不等于审核过的数据。
>
> Anthropic, 工程博客，2026 年 5 月 25 日，引文为译文, [Anthropic 工程博客](https://www.anthropic.com/engineering/how-we-contain-claude) (2026-11-06 查阅)

## 连接应用之前的七项检查

按这个顺序来。下面的框是一份便条，你为每个连接都可以复制一份。

````text
应用：
我连接的账号（工作还是个人）：
它索取的权限范围（读还是修改）：
谁在运营它，是否在厂商的目录里：
批准设置：每次都问
里面有哪些数据，是我不会贴进对话的：
我下次复查这个连接的日期：
````

1. **选账号。**OpenAI 的教程说，连接之前要检查账号和所请求的访问权限。连这项工作需要的那个账号，而不是存着一切的那个。
2. **读权限范围。**`drive.readonly` 和 `Mail.Read` 这样的名字写的是读，`gmail.modify` 写的是修改。[第 1 课](https://mindket.com/cn/learn/ai-connectors/chatgpt-connectors)里有对照表。
3. **挑最窄的工具。**OWASP 说，只给 AI 它需要的扩展，扩展里只放需要的功能，并避免开放式的扩展。邮件概括工具用不着发送按钮。
4. **问问谁审核过。**Anthropic 说，它的连接器目录有持续的审核，目录之外的一切都应当视为不可信。OpenAI 说，它没有验证过的远程服务器可以访问、发送和接收数据，并建议优先用服务提供方自己运营的官方服务器。
5. **把批准设成每次都问。**OpenAI 的更新日志说，ChatGPT 用户可以选择已连接的应用在什么时候请求权限：每次都问、修改之前问，或者只在重要修改之前问。先选每次都问。Anthropic 说，对 Gmail 和 Drive，什么时候需要你批准由你控制。
6. **让不可信的内容各归各处。**OpenAI 的 API 指南把公开的网页搜索放在一次请求里，把内部查询放在第二次请求里。在聊天应用里，同样的思路是 Mindket 的建议：网页浏览放在一个对话里，处理邮箱放在另一个对话里。
7. **读过再批准。**OWASP 要求对高风险操作由人来批准，而这只有在人真的读了请求时才管用。

## 为什么只靠每次都问还不够

Anthropic 的文章报告了 Claude Code 对每个操作都请求权限时发生的事：用户批准了大约 93% 的提示。文章的解读是，用户看到的批准越多，对每一次就越不上心。Anthropic 还说，操作系统级别的沙箱让权限提示减少了 84%，这更支持设硬限制，而不是多问几次。

同一篇文章引用了 Gray Swan 的基准测试：Claude Opus 4.7 在单次尝试中把攻击成功率压到约 0.1%，经过 100 次自适应尝试后约为 5% 到 6%。概率再低也是概率。守住的办法是收窄访问权限，并把提示当作最后一道检查。

**Anthropic 2026 年 5 月 25 日文章里关于批准和注入的数字**

- **93%** 用户批准的 Claude Code 权限提示的比例，来自 Anthropic 的遥测数据 (来源：[Anthropic：我们怎样约束 Claude](https://www.anthropic.com/engineering/how-we-contain-claude), 2026-11-06 查阅)
- **84%** 给 Claude Code 加上操作系统级沙箱之后，权限提示减少的比例 (来源：[Anthropic：我们怎样约束 Claude](https://www.anthropic.com/engineering/how-we-contain-claude), 2026-11-06 查阅)
- **0.1%** Gray Swan 的基准测试里，针对 Claude Opus 4.7 单次尝试的攻击成功率，这是 Anthropic 的转述 (来源：[Anthropic：我们怎样约束 Claude](https://www.anthropic.com/engineering/how-we-contain-claude), 2026-11-06 查阅)
- **5 到 6%** 对同一个模型做 100 次自适应尝试之后的攻击成功率 (来源：[Anthropic：我们怎样约束 Claude](https://www.anthropic.com/engineering/how-we-contain-claude), 2026-11-06 查阅)

## 各种风险的样子，以及资料说什么能降低它

| 风险 | 它的样子 | 什么能降低它 |
| --- | --- | --- |
| 内容里的隐藏指令 | AI 读到的网页或文件，让它通过图片链接泄露对话 | 把外部内容标为不可信，并和你自己的数据隔开（OWASP LLM01） |
| 权限过大 | 一个能概括邮件、也能发邮件的工具 | 只读的权限范围、更少的功能、每次发送都要批准（OWASP LLM06） |
| 批准疲劳 | 用户看到的提示太多，对每一个就不上心 | 收窄权限、设硬限制，而不是多问几次（Anthropic） |
| 之后会变的服务器 | 托管的服务器可以在你批准之后随时改变行为 | 优先用目录和官方服务器，先用假数据测试（Anthropic、OpenAI） |
| 公开查询造成的泄露 | 一个网页左右了对内部数据的查询 | 公开的网页查询和内部查询分开运行（OpenAI） |

## 工作账号，先问再连

OpenAI 关于连接插件的页面说，账号和工作区的政策适用于在 ChatGPT 里添加和使用自定义 MCP 服务器。它的更新日志还说，用户和管理员都可以设置已连接应用的权限提示。对 Claude 桌面应用，Anthropic 的工程博客列出了管理员能对扩展使用的几项控制。有 Windows 上的组策略和 macOS 上的 MDM、预装经过批准的扩展、对扩展或发布者的黑名单，以及私有目录。

这些设置的名字你不必记住。连接工作账号之前，向公司的 IT 团队问三个问题：我能不能添加自定义服务器，批准设置是什么，允许用哪些扩展。

## 常见错误

- 凭反射点批准。Anthropic 对 Claude Code 的遥测数据显示，用户批准了大约 93% 的权限提示。那是开发者的提示，不是 Gmail 的，但道理一样：提示只有在你读过的日子里才保护你。
- 把审核过的连接器当成审核过的内容。干净的连接器照样可能读进一份被下了毒的文档。
- 给概括工具发送权。工作只是读，权限范围就该写读。
- 把网页浏览和处理邮箱放在同一个对话里。网页可能带着指令，AI 会带着访问你邮件的权限去照着做。
- 把模型的拒绝当成防线。模型层只是几道防线中的一道。

## 自己试一试

- 为一个你已经连接的应用填一份检查便条，并根据它显示的内容改一项设置。
- 把那个应用的批准改成每次都问，再发一个需要写入的请求。
- 随手翻十封最近的邮件，把给读信人下达指令的句子标出来。然后写下哪些已连接的应用能把这条指令执行下去。
- 删掉一个你不再用的连接。

## 下一门课：AI 图像与视频

连接器让 AI 能处理你的邮件和文件。下一门课转向做图片和短片，第一课是[怎样写图像提示词](https://mindket.com/cn/learn/ai-images-video/ai-image-prompts)。

## 自测一下

1. 一个邮件概括工具还带有发送功能，一封恶意邮件让它转发你的收件箱。OWASP 说怎样可以避免这种情况？

   A. 写一段更长的系统提示词
   B. 把它限制在只读的邮件功能和只读的 OAuth 权限范围内
   C. 删掉收件箱
   D. 让 AI 自己批准自己的发送

   答案：B。 OWASP 的场景列出：只读邮件的扩展、只读的 OAuth 权限范围，以及由人审阅并发送每一封起草的邮件。

2. 在 Anthropic 的遥测数据里，用户批准了大约多少比例的 Claude Code 权限提示？

   A. 约 13%
   B. 约 50%
   C. 约 93%

   答案：C。 Anthropic 2026 年 5 月 25 日的文章说，用户批准了大约 93% 的权限提示。

3. 对于公开的网页查询和内部的 CRM 查询，OpenAI 建议怎么做？

   A. 分开运行
   B. 放在一个对话里节省时间
   C. 两种都不要做

   答案：A。 OpenAI 的 API 指南建议，公开的网页查询要和内部的 CRM 查询分开运行，因为网页可能左右一次查询。

4. “审核过的连接器，不等于审核过的数据”这句话在警告什么？

   A. 连接器要付费
   B. 连接器不能读文件
   C. 数据每天都会审核
   D. 审核过的连接器仍可能读进被下了毒的内容

   答案：D。 Anthropic 举的例子是：一个通过了检查的连接器，照样把一份被下了毒的文件读进模型的上下文。

## 常见问题

### 把 Gmail 连到 ChatGPT 或 Claude 安全吗？

连接只读、账号是你想要的那个、批准又是打开的，就比较安全。没有哪个设置能消除隐藏指令的风险，所以即便如此，也要把访问权限收窄。

### 提示词注入怎样绕过连接器？

连接器只是把取回的内容交给 AI。OWASP 说，只要模型会解析这些内容，即使人看不见，隐藏的指令也照样起作用。它的例子里有一个网页，让模型通过图片链接把对话泄露出去。

### AI 能不问我就发邮件吗？

只有你允许才行。两家厂商都把批准设置交给你，所以一开始选最严的，读过几个请求以后再放宽。

### 只读连接器是什么意思？

意思是你授予的权限只包含读取，不包含修改。drive.readonly 和 Mail.Read 这样的权限范围名字就写明了这一点，OWASP 也建议给邮件概括工具用只读的 OAuth 权限范围。

### 怎样知道一个连接器审核过？

到厂商自己的目录里去找，在别处找到的服务器，一律当作没审核过。权限范围、批准设置和先用假数据，这几项在两种情况下都适用。

## 资料来源

- [Anthropic：我们怎样约束 Claude](https://www.anthropic.com/engineering/how-we-contain-claude) (2026-11-06 查阅)
- [Anthropic：桌面扩展](https://www.anthropic.com/engineering/desktop-extensions) (2026-11-06 查阅)
- [OWASP：LLM01 提示词注入](https://github.com/OWASP/www-project-top-10-for-large-language-model-applications/blob/main/2_0_vulns/LLM01_PromptInjection.md) (2026-11-06 查阅)
- [OWASP：LLM06 过度代理](https://github.com/OWASP/www-project-top-10-for-large-language-model-applications/blob/main/2_0_vulns/LLM06_ExcessiveAgency.md) (2026-11-06 查阅)
- [OpenAI：工具、连接器和 MCP（API 指南）](https://developers.openai.com/api/docs/guides/tools-connectors-mcp) (2026-11-06 查阅)
- [OpenAI：插件的安全与隐私](https://developers.openai.com/plugins/guides/security-privacy.md) (2026-11-06 查阅)
- [OpenAI：Plugins 更新日志](https://developers.openai.com/plugins/changelog) (2026-11-06 查阅)
- [OpenAI：插件和技能教程](https://developers.openai.com/training/walkthroughs/plugins-and-skills) (2026-11-06 查阅)
- [OpenAI：连接并测试你的插件](https://developers.openai.com/plugins/deploy/connect-chatgpt.md) (2026-11-06 查阅)
- [Claude（@claudeai）在 X 上：Gmail 和 Drive 更新](https://x.com/claudeai/status/2089806039088517356) (2026-11-06 查阅)

[阅读指南](https://mindket.com/cn/blog/are-mcp-servers-safe)