Paglalagay ng malisyosong prompt sa MCP tool: mga tagong tagubilin sa paglalarawan ng tool

Ipinakita ng Invariant Labs na maaaring magtago ang MCP server ng mga tagubilin sa mga paglalarawan ng tool na binabasa ng modelo. Inilarawan din nito ang mga variant na tool shadowing at rug pull.

Ano ang nangyari

Noong 1 Abril 2025, naglabas ang Invariant Labs ng abiso sa seguridad tungkol sa paglalagay ng malisyosong prompt sa mga tool sa Model Context Protocol. Naglalagay ng mga tagubilin ang isang malisyosong MCP server sa paglalarawan ng tool. Bihirang makita ng user ang tekstong iyon, pero binabasa ito ng modelo bilang bahagi ng context nito at maaari itong kumilos batay rito.

Inilarawan din sa parehong abiso ang dalawang kaugnay na pag-atake. Sa tool shadowing, binabago ng paglalarawan mula sa isang server kung paano ginagamit ng agent ang mga tool mula sa isa pang pinagkakatiwalaang server. Sa rug pull, binabago ng server ang mga paglalarawan ng tool nito matapos itong aprubahan ng user.

Bakit ito nagtagumpay

Isinasama ng mga client sa iisang context ang mga paglalarawan ng tool mula sa bawat nakakonektang server, at hindi matukoy ng modelo kung dokumentasyon ng vendor o mga tagubilin ng umaatake ang mga ito. Kung minsan lang inaaprubahan ng client ang isang server at hindi na ito muling sinusuri, hindi mapapansin ang mga susunod na pagbabago.

Ano ang dapat gawin

• Basahin ang buong paglalarawan ng mga tool ng MCP server bago ito ikonekta; huwag pangalan lang ng tool ang tingnan.
• I-pin ang mga bersyon ng server at i-hash ang mga paglalarawan ng tool; mag-prompt muli o mag-alerto kapag nagbago ang hash.
• Ikonekta lang ang mga server na kailangan ng gawain para hindi magamit ang teksto ng isang server upang impluwensiyahan ang mga tool ng iba.
• Humingi ng pag-apruba para sa mga tool call na nagpapadala ng data o nagbabago ng mga file.

Siyasatin ang mga skill, plugin at MCP serverHumingi ng pag-apruba para sa mga aksyong may malaking epekto

Sundin ang checklist sa seguridad →