ทำไม readOnlyHint ของ MCP จึงไม่พอป้องกันคำสั่งลบข้อมูล

ระบบ Model Context Protocol หรือ MCP เปิดโอกาสให้เครื่องมือต่างๆ สามารถอธิบายคุณสมบัติของตัวเองได้ผ่านคำใบ้ โดยคำสั่ง readOnlyHint: true หมายถึงการอ่านข้อมูลเท่านั้น ส่วน destructiveHint: true หมายถึงการลบหรือเขียนทับข้อมูล ซึ่งช่วยให้ไคลเอนต์สามารถตัดสินใจได้ว่าเมื่อไหร่ควรขออนุญาตมนุษย์ก่อนรันเครื่องมือ

ทว่าในการใช้งานจริงกลับพบปัญหาใหญ่สองประการที่ทำให้แนวทางนี้มีความเสี่ยงสูง ประการแรกคือคำใบ้มักจะหายไปเฉยๆ จากการตรวจสอบเครื่องมือ MCP ประมาณ 20,000 รายการสำหรับรายงานเรื่อง MCP tool annotations พบว่าใน Docker's MCP Catalog มีเครื่องมือถึง 69% ที่ทำหน้าที่ลบหรือเขียนทับข้อมูลแต่กลับไม่มีการใส่คำใบ้ใดๆ เลย

ประการที่สองคือคำใบ้อาจแสดงผลผิดพลาดได้อย่างไม่น่าเชื่อ มีเซิร์ฟเวอร์แห่งหนึ่งในแคตตาล็อกดังกล่าวที่ทำเครื่องมือลบข้อมูลถึง 15 ตัวให้กลายเป็นแบบอ่านอย่างเดียว รวมถึงคำสั่ง delete ALL integrations ด้วย เนื่องจากตัวเครื่องมือไม่เคยตั้งค่าคำใบ้ ทำให้เฟรมเวิร์กใส่ค่าเริ่มต้นเป็น readOnlyHint: true ให้ทุกตัวโดยอัตโนมัติ แม้ผู้พัฒนาจะแก้ไขภายในหนึ่งสัปดาห์ แต่แคตตาล็อกยังคงให้บริการเวอร์ชันเก่าอยู่ถึงสามเดือน

"For trust & safety and security, clients MUST consider tool annotations to be untrusted unless they come from trusted servers."

ข้อกำหนดอย่างเป็นทางการของ MCP specification

จากข้อกำหนดของ MCP จึงระบุชัดเจนว่าเพื่อความปลอดภัยและความน่าเชื่อถือ ไคลเอนต์ต้องถือว่าคำอธิบายเหล่านี้ไม่น่าเชื่อถือเว้นแต่จะมาจากเซิร์ฟเวอร์ที่ไว้วางใจได้จริง ดังนั้นการตัดสินใจว่าเอเจนต์จะทำอะไรได้บ้างจึงไม่ควรฝากไว้ที่ตัวเครื่องมือ แต่อยู่ที่ระบบควบคุมที่คุณกำหนดเอง