Empoisonnement d’outils MCP : instructions cachées dans les descriptions d’outils

Invariant Labs a montré qu’un serveur MCP peut dissimuler des instructions dans les descriptions d’outils lues par un modèle, et a décrit des variantes appelées tool shadowing et rug pull.

Ce qui s’est passé

Le 1 avril 2025, Invariant Labs a publié un avis de sécurité sur l’empoisonnement d’outils dans le Model Context Protocol. Un serveur MCP malveillant dissimule des instructions dans la description d’un outil. L’utilisateur voit rarement ce texte, mais le modèle le lit dans son contexte et peut agir en conséquence.

Le même avis décrit deux attaques apparentées. Avec le tool shadowing, la description d’un serveur modifie la façon dont l’agent utilise les outils d’un autre serveur de confiance. Avec un rug pull, un serveur modifie ses descriptions d’outils après que l’utilisateur l’a déjà approuvé.

Pourquoi l’attaque a fonctionné

Les clients chargent dans un même contexte les descriptions des outils de tous les serveurs connectés, et le modèle ne peut pas distinguer la documentation d’un fournisseur des instructions d’un attaquant. Si un client approuve un serveur une seule fois sans jamais le vérifier à nouveau, les modifications ultérieures passent inaperçues.

Mesures à prendre

• Lisez toutes les descriptions d’outils d’un serveur MCP avant de vous y connecter, pas seulement les noms des outils.
• Verrouillez les versions des serveurs et calculez le hash des descriptions d’outils ; relancez le prompt ou déclenchez une alerte si un hash change.
• Ne connectez que les serveurs nécessaires à la tâche, afin que le texte d’un serveur ne puisse pas influencer les outils d’un autre.
• Exigez une approbation pour les appels d’outils qui envoient des données ou modifient des fichiers.

Vérifier les skills, plugins et serveurs MCPExiger une approbation pour les actions importantes

Suivre la checklist de sécurité →