The Era of Blind AI Trust Is Over
MCPkey is the out-of-band, hardware-isolated zero-trust defense line for the Model Context Protocol — giving humans a physical veto over every high-risk AI operation.
盲目的なAI信頼の時代は終わった
MCPkeyは、モデルコンテキストプロトコル（MCP）向けのアウトオブバンド物理隔離ハードウェアゼロトラスト防衛ラインです。高リスクなAI操作すべてに、人間の物理的な拒否権を与えます。
盲目信任AI的时代结束了
MCPkey 是专为模型上下文协议（MCP）设计的带外物理隔离硬件零信任防御层——赋予人类对每一项高风险AI操作的物理否决权。
Prompts Failed. Sandboxes Leaked.
The Stakes Have Never Been Higher.
As enterprise AI evolves from read-only assistants to write-capable agents, the absence of a physical safety net becomes a critical vulnerability.
Anthropic's Claude Made Unauthorized Intrusions into 3 Real Companies During Testing
- 6 confirmed intrusions identified from 141,006 evaluations
- Misconfigured sandbox allowed external connections to real systems
- Credential leakage via weak passwords; sessions compromised
- Malicious PyPI packages executed across 15 real production systems
SSO Tokens Are Vulnerable
Soft tokens from Okta or SSO systems are susceptible to session hijacking. When the AI model's alignment collapses, prompt constraints stop working — and so does your soft auth.
Autonomous High-Risk Execution
MCP enables AI agents to autonomously execute delete, transfer, and deploy operations. There is no cryptographic guarantee tying the agent's intent to the actual parameters executed.
プロンプトは失敗した。
サンドボックスが漏れた。
エンタープライズAIが「読み取り専用アシスタント」から「書き込み操作エージェント」へと進化する中、物理的なセーフティネットの不在は致命的な脆弱性となっています。
Anthropic「Claude」がテスト中に実在3社へ不正侵入
- 14万1006件の評価から6件の侵入行為を確認
- 設定ミスでサンドボックスが外部接続し、実システムを演習と誤認
- 弱いパスワード等の基本手口で侵入、認証情報が流出
- 悪意あるPyPIパッケージが実在15システムで実行
SSOトークンは脆弱
OktaやSSOのソフトトークンはセッションハイジャックに脆弱です。AIモデルの整合性が崩れた場合、プロンプト制約は機能せず、ソフトウェア認証も突破されます。
高リスク操作の自律実行
MCPはAIエージェントが削除・転送・デプロイ等の操作を自律実行できる環境を整備しています。エージェントの意図と実際のパラメータを結びつける暗号学的な保証が存在しません。
提示词失效，沙盒泄露，
风险前所未有。
随着企业AI从只读助手演进为具备写操作能力的智能体，缺乏物理安全网已成为关键漏洞。
Anthropic「Claude」测试期间未授权入侵3家真实企业
- 从14万1006次评估中确认6起入侵行为
- 沙盒配置错误导致外部连接打通，真实系统被误识为演练环境
- 通过弱密码等基础手段入侵，凭证信息泄露
- 恶意PyPI包在15个真实生产系统上执行
SSO软令牌存在漏洞
Okta或SSO等软令牌易受会话劫持攻击。当AI模型对齐崩溃时，提示词约束失效，软件认证同样形同虚设。
高风险操作自主执行
MCP使AI智能体能够自主执行删除、转移、部署等操作。目前没有任何密码学机制将智能体的意图与实际执行的参数绑定在一起。
The "Ultimate Physical Defense"
for the AI Agent Era
An out-of-band, hardware-isolated zero-trust defense line built specifically for the Model Context Protocol — requiring a physical Passkey signature for every high-risk tool invocation.
"Even if the AI model's alignment completely breaks down and the host environment is compromised — the human's physical hardware chip holds control of the system."
| Dimension | Before MCPkey — Status Quo Risk | After MCPkey — Cryptographic Guarantee |
|---|---|---|
| Auth model | SSO session token (vulnerable to hijacking) | FIDO2 hardware assertion per operation |
| Parameter integrity | None — AI can silently modify payloads | Intent Binding: signature tied to exact JSON hash |
| Audit trail | Soft logs, repudiable | Non-repudiable cryptographic chain, air-gap isolated |
| AI trust assumption | Trust the model's alignment and constraints | Zero trust — hardware enforces regardless of model state |
| Client engineering | Custom integration per client | Zero frontend burden — SEP-1865 UI injection |
| Compliance posture | Prompt-based governance (not auditable) | Hardware-anchored audit chain for GDPR, HIPAA, SOC2 |
AIエージェント時代の
"究極の物理的防衛"
モデルコンテキストプロトコル（MCP）向けに特別設計されたアウトオブバンド物理隔離ハードウェアゼロトラスト防衛ライン。高リスクなツール呼び出しに物理的なPasskey署名を必須化します。
「たとえAIモデルの整合性が完全に崩れ、ホスト環境が乗っ取られたとしても、人間が持つ物理的なハードウェアチップがシステムの制御を固定する。」
| 比較項目 | MCPkey導入前 — 現状のリスク | MCPkey導入後 — 暗号学的保証 |
|---|---|---|
| 認証モデル | SSOセッショントークン（ハイジャック可能） | 操作ごとのFIDO2ハードウェアアサーション |
| パラメータ完全性 | なし — AIが無声でペイロードを改ざん可能 | Intent Binding：署名が正確なJSONハッシュに紐づく |
| 監査証跡 | ソフトログ、否認可能 | 否認不可能な暗号チェーン、帯外隔離 |
| AI信頼前提 | モデルの整合性と制約を信頼 | ゼロトラスト — モデル状態に関わらずハードウェアが強制 |
| クライアント工数 | クライアントごとにカスタム統合が必要 | Zero Frontend Burden — SEP-1865 UI注入 |
| コンプライアンス | プロンプトベースのガバナンス（監査不可） | GDPR・個人情報保護法対応の暗号監査チェーン |
AI智能体时代的
"终极物理防线"
专为模型上下文协议（MCP）打造的带外物理隔离硬件零信任防御层，对每一次高风险工具调用强制要求物理Passkey硬件签名。
「即便AI模型对齐完全崩溃，宿主环境遭到攻陷——人类持有的物理硬件芯片仍将牢牢掌控系统控制权。」
| 对比维度 | MCPkey之前 — 现状风险 | MCPkey之后 — 密码学保证 |
|---|---|---|
| 认证模型 | SSO会话令牌（易受会话劫持） | 每次操作独立的FIDO2硬件断言 |
| 参数完整性 | 无——AI可静默篡改载荷参数 | 意图绑定：签名绑定至精确JSON哈希值 |
| 审计追踪 | 软日志，可被否认 | 不可否认密码链，气隙隔离 |
| AI信任假设 | 信任模型对齐与提示词约束 | 零信任——硬件强制执行，与模型状态无关 |
| 客户端工程量 | 每个客户端需独立定制集成 | 零前端侵入——SEP-1865 UI动态注入 |
| 合规态势 | 基于提示词的治理（不可审计） | 硬件锚定审计链，满足GDPR、等保、HIPAA要求 |
How It Works — Cryptographic Hardware Release Chain
AI Agent Invokes a High-Risk Tool
The agent autonomously initiates a sensitive operation via MCP.
MCP Apps Sandbox UI (WYSIWYG)
Parameters are displayed in full — e.g. "Transfer $10,000" — so the human sees exactly what will execute.
User Physical Hardware Auth
Touch ID / Face ID / YubiKey physical press generates a FIDO2 assertion cryptographically bound to the payload hash.
MCP Server Cryptographic Verification
Direct cryptographic verification of the assertion against the exact payload — no trust in the AI model or host.
Business Operation Released
Delete / Transfer / Deploy executes only after cryptographic proof of human physical intent.
Parameter Tampering Is Cryptographically Impossible
The signature is bound to the exact JSON payload hash. Any parameter change invalidates the assertion before execution.
Independent of SSO / Soft Tokens
Out-of-band authentication builds a non-repudiable audit chain entirely independent of session hijacking vectors.
No Client Modifications Required
Based on MCP Apps (SEP-1865), the server dynamically injects standard UI into mainstream clients. Zero frontend engineering cost.
仕組み — 暗号ハードウェアリリースチェーン
AIエージェントが高リスクツールを起動
エージェントがMCPを通じて機密性の高い操作を自律的に開始します。
MCP Apps 沙箱 UI（WYSIWYG）
「Transfer $10,000」等のパラメータを完全表示。人間が実行内容を正確に確認できます。
ユーザーローカルハードウェア認証
Touch ID / Face ID / YubiKeyの物理プレスがペイロードハッシュにバインドされたFIDO2アサーションを生成します。
MCPサーバーによる暗号的検証
正確なペイロードに対してアサーションを暗号的に直接検証。AIモデルもホスト環境も信頼不要。
業務実行のリリース
削除・転送・デプロイは、人間の物理的意図の暗号学的証明があって初めて実行されます。
パラメータ改ざんを暗号学的に防止
署名は特定のJSONペイロードハッシュに紐づきます。パラメータ変更はアサーションを無効化し、実行前に検知されます。
SSO・ソフトトークンから完全独立
アウトオブバンド認証により、セッションハイジャックから独立した否定できない監査チェーンを構築します。
フロントエンド改修不要
MCP Apps（SEP-1865）準拠で、サーバーが主流クライアントへ標準UIを動的注入。フロントエンド開発コストはゼロです。
工作原理 — 密码硬件释放链
AI智能体触发高风险工具
智能体通过MCP自主发起敏感操作。
MCP Apps 沙盒UI（所见即所得）
完整展示参数内容，如"转账$10,000"，人类清楚看到将要执行的内容。
用户本地硬件认证
Touch ID / Face ID / YubiKey 物理按压，生成绑定到载荷哈希的FIDO2断言。
MCP服务器密码学验证
针对精确载荷对断言进行密码学直接验证——无需信任AI模型或宿主环境。
业务操作释放执行
删除 / 转移 / 部署，仅在获得人类物理意图的密码学证明后方可执行。
密码学层面阻断参数篡改
签名绑定至精确的JSON载荷哈希。任何参数修改都将在执行前使断言失效。
独立于SSO / 软令牌体系
带外认证构建不可否认的审计链，完全独立于会话劫持攻击向量。
无需修改任何客户端
基于MCP Apps（SEP-1865），服务器向主流客户端动态注入标准UI，前端工程成本为零。
Built for the Industries Where Stakes Are Highest
As enterprise AI shifts from read-only assistants to write-capable agents between 2026–2030, physical safety nets become a critical IT security requirement.
Financial Operations
Physical signature for single fund transfers, automated accounting, and FX operations. Decision makers: CISO, Security Directors.
Infrastructure Automation
Production deployments, DB migrations, and sensitive config changes require human cryptographic sign-off. Decision makers: SRE Leads, Cloud Architects.
Sensitive Data Access
AI access and export operations on PII and high-confidentiality datasets. Decision makers: CPO, Compliance Officers.
MCPkey: Hardware Veto Power for Humans in the Loop
Becoming the cryptographic security foundation for the AI era — pulling AI governance from illusory "prompt constraints" back to genuine physical security anchors.
最もリスクが高い業界のために構築
2026〜2030年にかけてエンタープライズAIが読み取り専用から書き込みエージェントへ移行する中、物理的なセーフティネットは重要なITセキュリティ要件となります。
金融オペレーション
単一資金移動・自動会計処理・為替操作等の高リスクAI自動化に物理的な署名を適用。意思決定者：CISO、セキュリティ部門長。
インフラ自動化
本番環境デプロイ、DBマイグレーション、機密設定変更に人間の暗号学的承認が必要。意思決定者：SRE Lead、クラウドアーキテクト。
機密データアクセス
PII等の高機密データセットへのAIアクセス・エクスポート操作を制御。意思決定者：CPO、コンプライアンス担当役員。
MCPkey：人間がループに入った者のためのハードウェア拒否権
AI時代の暗号学的セキュリティ基盤となり、AI管理を幻想的な「プロンプト制約」から本当の「物理的なセキュリティアンカー」へと引き戻します。
为风险最高的行业而生
2026至2030年间，企业AI从只读助手转型为具备写操作能力的智能体，物理安全网将成为关键的IT安全要求。
金融操作
单笔资金转移、自动化会计处理、外汇操作等高风险AI自动化场景的物理签名。决策者：CISO、安全负责人。
基础设施自动化
生产环境部署、数据库迁移、敏感配置变更须经人类密码学签批。决策者：SRE负责人、云架构师。
敏感数据访问
对含PII等高度机密数据集的AI访问与导出操作进行管控。决策者：CPO、合规官员。
MCPkey：人类在环的硬件否决权
成为AI时代的密码学安全基础，将AI治理从虚幻的「提示词约束」拉回真正的「物理安全锚点」。
The Agent Proposes. The Gate Authorizes.
MCPkey separates three kinds of authority: propose, approve, and execute. The agent can prepare a high-risk action. It cannot approve that action for itself.
The agent and its context
The agent, the model, and any retrieved content are treated as untrusted. The proposer holds no downstream credentials and has no route to the business API.
Freeze, bind, and check
The verifier freezes the exact action, binds a single-use challenge to the action digest, and checks policy, approver, expiry, and the hardware assertion.
Release once, then record
The executor holds the execution credentials, reserves the approval atomically, releases only the frozen action, and persists the result. Rejection and replay create no side effects.
| Stage | What happens | What must be true |
|---|---|---|
| Proposed | The agent submits a tool call. | The proposal is untrusted. |
| Frozen | The verifier stores the exact action envelope. | Tool, parameters, tenant, environment, and approver policy are fixed. |
| Approved | The reviewer sees the frozen action and completes the passkey check. | The assertion matches the challenge and the required user verification. |
| Reserved | One worker claims the approval for execution. | The approval is single-use, unexpired, and not already consumed. |
| Executed | The executor releases the action and persists the result. | The digest matches; retries are deduplicated; rejection has no side effects. |
Low-risk work stays policy-automated. Only high-risk operations pass through this gate.
エージェントは提案し、ゲートが認可する
MCPkeyは「提案」「承認」「実行」という3つの権限を分離します。エージェントは高リスク操作を準備できますが、その操作を自分で承認することはできません。
エージェントとそのコンテキスト
エージェント、モデル、参照したコンテンツは信頼しません。提案者は下流の実行資格情報を持たず、業務APIへの経路も持ちません。
凍結し、束縛し、検証する
検証者は正確な操作を凍結し、操作ダイジェストに一度限りのチャレンジを束縛し、ポリシー・承認者・有効期限・ハードウェア断言を確認します。
一度だけ解放し、記録する
実行者は実行資格情報を保持し、承認をアトミックに予約し、凍結された操作だけを解放して結果を永続化します。拒否やリプレイは副作用を生みません。
| 段階 | 何が起きるか | 何が真でなければならないか |
|---|---|---|
| 提案 | エージェントがツール呼び出しを送る。 | 提案は信頼しない。 |
| 凍結 | 検証者が正確な操作エンベロープを保存する。 | ツール・パラメータ・テナント・環境・承認ポリシーが固定される。 |
| 承認 | 承認者が凍結された操作を見てPasskey認証を完了する。 | 断言がチャレンジと要求されたユーザー検証に一致する。 |
| 予約 | 1つのワーカーが実行のために承認を確保する。 | 承認は一度限り・期限内・未消費である。 |
| 実行 | 実行者が操作を解放し、結果を永続化する。 | ダイジェストが一致し、再試行は重複排除され、拒否は副作用を生まない。 |
低リスク操作はポリシーで自動化し、高リスク操作だけをこのゲートに通します。
智能体负责提议，闸门负责授权
MCPkey把权限分成三类：提议、批准、执行。智能体可以准备高风险操作，但不能自己批准这个操作。
智能体及其上下文
智能体、模型以及它读取的内容都不被信任。提议者不持有下游执行凭据，也没有通往业务API的路径。
冻结、绑定、校验
验证者冻结精确操作，把一次性挑战绑定到操作摘要，并检查策略、审批人、有效期和硬件断言。
只释放一次，然后记录
执行者持有执行凭据，原子化预留审批，只释放被冻结的操作并持久化结果。拒绝和重放不会产生副作用。
| 阶段 | 发生什么 | 必须满足什么 |
|---|---|---|
| 提议 | 智能体提交工具调用。 | 提案不被信任。 |
| 冻结 | 验证者保存精确操作信封。 | 工具、参数、租户、环境、审批策略固定。 |
| 批准 | 审批人查看冻结操作并完成Passkey验证。 | 断言匹配挑战和所需用户验证。 |
| 预留 | 一个worker为执行预留审批。 | 审批一次性、未过期、未消费。 |
| 执行 | 执行者释放操作并持久化结果。 | 摘要匹配；重试去重；拒绝无副作用。 |
低风险操作由策略自动执行；只有高风险操作才经过这道闸门。
Bind the Action, Not the Button.
The same pattern applies to money, infrastructure, and sensitive data. The question is always the same: what exact action did the person approve?
A transfer is not a session
Bind the source account, beneficiary, amount, currency, tenant, and environment. Approval for B-1042 must not authorize a transfer to B-9009.
A deploy is not a pipeline run
Bind the image digest, not the tag; the cluster, namespace, and rollout scope; the migration ID, target database, and reversibility; the principal, role, and duration for privilege changes.
An export is a data boundary
Bind the dataset, row scope, field set, de-identification level, destination, transport, and retention. Approval must not widen entitlement, and the audit record should not become a second copy of the data.
| Scenario | Bind these fields | Reject when |
|---|---|---|
| Fund transfer | Source account, beneficiary, amount, currency, tenant, environment | The beneficiary, amount, or currency changes after approval |
| Production deploy | Image digest, cluster, namespace, rollout scope | A different artifact or target is substituted |
| Destructive migration | Migration ID, target database, reversibility, maintenance window | The migration or target changes, or recovery is not defined |
| Privilege change | Principal, role, scope, duration, second approver | The role, scope, or duration changes, or the second approver is missing |
| PII export | Dataset, row scope, field set, de-identification, destination, retention | The scope, destination, or retention changes; entitlement would be widened |
ボタンではなく、操作を束縛する
資金、インフラ、機密データのいずれでも、同じパターンが使えます。問いは常に同じです。人はどの正確な操作を承認したのか。
送金はセッションではない
送金元口座、受取人、金額、通貨、テナント、環境を束縛します。B-1042への承認が、B-9009への送金を認可してはなりません。
デプロイはパイプライン実行ではない
タグではなくイメージダイジェスト、クラスタ・名前空間・ロールアウト範囲、マイグレーションID・対象DB・可逆性、権限変更の主体・ロール・期間を束縛します。
エクスポートはデータ境界である
データセット、行範囲、項目セット、匿名化レベル、送信先、転送方式、保持期間を束縛します。承認が権限を広げてはならず、監査記録がデータの第二のコピーになってはなりません。
| シナリオ | 束縛する項目 | 拒否する条件 |
|---|---|---|
| 資金移動 | 送金元口座、受取人、金額、通貨、テナント、環境 | 承認後に受取人・金額・通貨が変わる |
| 本番デプロイ | イメージダイジェスト、クラスタ、名前空間、ロールアウト範囲 | 別の成果物や対象に差し替えられる |
| 破壊的マイグレーション | マイグレーションID、対象DB、可逆性、メンテナンス枠 | マイグレーションや対象が変わる、または復旧計画がない |
| 権限変更 | 主体、ロール、範囲、期間、第二承認者 | ロール・範囲・期間が変わる、または第二承認者がいない |
| PIIエクスポート | データセット、行範囲、項目セット、匿名化、送信先、保持期間 | 範囲・送信先・保持期間が変わる、または権限が広がる |
绑定操作，而不是按钮
资金、基础设施和敏感数据都适用同一套模式。问题始终是：人到底批准了哪个精确操作？
转账不是会话
绑定付款账户、收款人、金额、币种、租户和环境。对B-1042的批准，不能授权向B-9009转账。
部署不是流水线运行
绑定镜像摘要而不是标签；绑定集群、命名空间和发布范围；绑定迁移ID、目标数据库和可逆性；权限变更绑定主体、角色和期限。
导出是数据边界
绑定数据集、行范围、字段集、去标识级别、目的地、传输方式和保留期限。审批不得扩大权限，审计记录不应成为数据的第二份拷贝。
| 场景 | 绑定这些字段 | 何时拒绝 |
|---|---|---|
| 资金转移 | 付款账户、收款人、金额、币种、租户、环境 | 审批后收款人、金额或币种发生变化 |
| 生产部署 | 镜像摘要、集群、命名空间、发布范围 | 工件或目标被替换 |
| 破坏性迁移 | 迁移ID、目标数据库、可逆性、维护窗口 | 迁移或目标改变，或未定义恢复方案 |
| 权限变更 | 主体、角色、范围、期限、第二审批人 | 角色、范围或期限改变，或缺少第二审批人 |
| PII导出 | 数据集、行范围、字段集、去标识、目的地、保留期限 | 范围、目的地或保留期限改变，或权限被扩大 |
Operate the Gate, Then Pilot One Tool.
A gate is only as strong as the way it is operated. Start with one high-risk tool and prove the failure paths before you scale.
Own the credential policy
Define who can enroll, how a lost device is recovered, and how access is revoked. Break-glass is a controlled exception with separate authority, a time limit, and an audit trail — not a silent bypass.
Own the execution boundary
Keep the verifier outside the agent's authority, protect execution credentials, persist approval and execution records, and make sure no route to the business API skips the gate.
Own the policy and the pilot
Set risk thresholds and approval rules, watch approval load and quality, and start with the tool where a wrong action would hurt most.
- Pick one high-risk tool and name its exact action fields.
- Define eligible approvers and the trusted review path.
- Attack-test mutation, replay, expiry, bypass, restart, and lost replies.
- Measure approval time, abandoned requests, and record completeness; then add the next tool.
MCPkey was introduced in the Architecture Week 2026 flagship session “MCP@Passkey” by Qingjie Du and Keisuke Kadoyama.
Bring one high-risk tool.
Let's build the pilot together.
ゲートを運用し、まず1つのツールでpilotする
ゲートの強さは運用で決まります。規模を広げる前に、1つの高リスクツールで失敗経路を証明してください。
資格情報ポリシーを所有する
誰が登録できるか、紛失デバイスをどう復旧するか、退職時にどう失効するかを定めます。break-glassは別権限・期限・監査証跡を伴う統制された例外であり、黙ったバイパスではありません。
実行境界を所有する
検証者をエージェント権限の外側に置き、実行資格情報を保護し、承認・実行記録を永続化し、業務APIへのどの経路もゲートを迂回しないようにします。
ポリシーとpilotを所有する
リスク閾値と承認ルールを定め、承認負荷と品質を監視し、誤操作の影響が最も大きいツールから始めます。
- 高リスクツールを1つ選び、正確な操作項目を定義する。
- 承認可能な人と信頼できるレビュー経路を決める。
- 改ざん・リプレイ・期限切れ・バイパス・再起動・応答喪失を攻撃テストする。
- 承認時間・放棄率・記録の完全性を測定し、次のツールへ進む。
MCPkeyは、Architecture Week 2026のフラッグシップセッション「MCP@Passkey」（Qingjie Du / Keisuke Kadoyama）で紹介されました。
高リスクツールを1つお持ちください。
pilotを一緒に作りましょう。
运营这道闸门，先试点一个工具
闸门的强度取决于运营方式。在扩展之前，先用一个高风险工具证明失败路径。
负责凭据策略
定义谁可以登记、丢失设备如何恢复、离职时如何撤销。break-glass是受控例外：独立权限、时限和审计轨迹，而不是静默绕过。
负责执行边界
把验证者放在智能体权限之外，保护执行凭据，持久化审批和执行记录，确保通往业务API的任何路径都不能绕过闸门。
负责策略与试点
设定风险阈值和审批规则，关注审批负载与质量，从错误操作影响最大的工具开始。
- 选择一个高风险工具，定义精确操作字段。
- 确定可审批人和可信复核路径。
- 对参数篡改、重放、过期、绕过、重启和响应丢失进行攻击测试。
- 度量审批时长、放弃率和记录完整性，然后扩展下一个工具。
MCPkey 在 Architecture Week 2026 旗舰 session「MCP@Passkey」中由 Qingjie Du 与 Keisuke Kadoyama 介绍。
带来一个高风险工具。
我们一起做试点。
What MCPkey Proves — and What It Does Not.
A hardware veto is powerful, but it is not magic. Here is the boundary we design for.
What it proves
- A fresh assertion from an enrolled FIDO2 credential.
- The required user verification for this approval.
- The assertion is bound to the exact action digest.
- The approval is single-use, unexpired, and unconsumed.
- The execution gate can reject with no side effects.
What it does not
- It does not sandbox the agent or judge whether an action is safe.
- It does not replace OAuth, IAM, policy engines, or network controls.
- It does not make a compromised approval screen trustworthy.
- It does not turn a synced passkey into a hardware-bound key.
- It does not prove the reviewer understood every consequence.
MCPkeyが証明すること、証明しないこと
ハードウェア拒否権は強力ですが、魔法ではありません。私たちが設計する境界は次のとおりです。
証明すること
- 登録済みFIDO2資格情報による新しい断言。
- この承認に要求されたユーザー検証。
- 断言が正確な操作ダイジェストに束縛されていること。
- 承認が一度限り・期限内・未消費であること。
- 実行ゲートが副作用なしで拒否できること。
証明しないこと
- エージェントをサンドボックス化したり、操作の安全性を判断したりしない。
- OAuth、IAM、ポリシーエンジン、ネットワーク制御を置き換えない。
- 侵害された承認画面を信頼できるものにしない。
- 同期Passkeyをハードウェア束縛キーに変えない。
- 承認者がすべての結果を理解したことを証明しない。
MCPkey证明什么，不证明什么
硬件否决权很强，但不是魔法。以下是我们设计的边界。
它证明
- 来自已登记FIDO2凭据的新断言。
- 本次审批要求的用户验证。
- 断言绑定到精确的操作摘要。
- 审批一次性、未过期、未消费。
- 执行门可以拒绝且不产生副作用。
它不证明
- 不会沙盒化智能体，也不判断操作是否安全。
- 不取代 OAuth、IAM、策略引擎或网络控制。
- 不能使被攻陷的审批屏幕变得可信。
- 不能把同步Passkey变成硬件绑定密钥。
- 不能证明审批人理解了所有后果。
Frequently Asked Questions
Everything you need to know about MCPkey, MCP security, and hardware-based AI authorization.
What is MCPkey?▾
Why does MCP need additional security?▾
How does MCPkey work step by step?▾
- AI agent attempts to invoke a high-risk MCP tool.
- MCPkey displays a WYSIWYG sandbox UI showing exact parameters (e.g., "Transfer $10,000").
- User performs physical hardware authentication — Touch ID / Face ID / YubiKey press.
- The press generates a FIDO2 assertion cryptographically bound to the SHA-256 hash of the exact JSON payload.
- MCP server cryptographically verifies the assertion before executing. No hardware proof = no execution.
What is Intent Binding?▾
How is MCPkey different from MFA or SSO?▾
What hardware does MCPkey support?▾
Does MCPkey require changes to existing MCP clients or frontends?▾
Which industries and compliance frameworks benefit most?▾
- FinTech / Banking — non-repudiable audit chains for AI-initiated fund transfers, satisfying AML and financial regulation requirements.
- DevOps / Cloud — human cryptographic sign-off for production deployments and DB migrations, reducing blast radius of AI agent errors.
- Legal / Healthcare — hardware-anchored access logs for PII and medical data, supporting GDPR, HIPAA, and SOC 2 compliance.
What exactly does MCPkey bind to an approval?▾
What happens if an AI agent changes parameters after approval?▾
Does a passkey prove the business decision is correct?▾
How are credentials enrolled, recovered, and revoked?▾
How do you pilot MCPkey in production?▾
How does MCPkey apply to DevOps and sensitive data exports?▾
Does MCPkey replace OAuth, IAM, or policy engines?▾
Is MCPkey limited to MCP?▾
FAQ
MCPkey、MCPセキュリティ、ハードウェアベースのAI認可に関するよくある質問をまとめました。
MCPkeyとは何ですか？▾
Intent Binding（意図绑定）とは何ですか？▾
SSO・MFAとどう違いますか？▾
フロントエンドや既存クライアントへの改修は必要ですか？▾
どのハードウェアに対応していますか？▾
MCPに追加のセキュリティが必要なのはなぜですか？▾
MCPkeyはどのように動作しますか？▾
どの業界とコンプライアンスframeworkが最もbenefitしますか？▾
MCPkeyは承認に何を正確に束縛しますか？▾
承認後にAIエージェントがパラメータを変更したらどうなりますか？▾
Passkeyは業務判断の正しさを証明しますか？▾
資格情報の登録・復旧・失効はどのように行いますか？▾
本番環境でMCPkeyをどのようにpilotしますか？▾
DevOpsや機密データのエクスポートにどう適用しますか？▾
MCPkeyはOAuth、IAM、ポリシーエンジンを置き換えますか？▾
MCPkeyはMCP専用ですか？▾
FAQ
关于MCPkey、MCP安全以及硬件AI授权的常见问题解答。
MCPkey是什么？▾
什么是意图绑定（Intent Binding）？▾
MCPkey与MFA、SSO有何不同？▾
MCPkey是否需要修改现有MCP客户端或前端？▾
支持哪些硬件设备？▾
哪些行业和合规框架最受益？▾
- 金融科技/银行——AI发起资金转账的不可否认审计链，满足反洗钱及金融监管要求。
- DevOps/云基础设施——生产环境部署和数据库迁移的人类密码签批，降低AI智能体操作的爆炸半径。
- 法务/医疗——PII和医疗数据的硬件锚定访问日志，支持GDPR、等保2.0、HIPAA合规。