MCP-tool poisoning: verborgen instructies in toolbeschrijvingen

Invariant Labs liet zien dat een MCP-server instructies kan verbergen in de toolbeschrijvingen die een model leest, en beschreef varianten met tool shadowing en rug pulls.

Wat is er gebeurd

Op 1 april 2025 publiceerde Invariant Labs een beveiligingsmelding over tool poisoning in het Model Context Protocol. Een kwaadaardige MCP-server plaatst instructies in de beschrijving van een tool. De gebruiker ziet die tekst zelden, maar het model leest deze als onderdeel van zijn context en kan ernaar handelen.

Dezelfde melding beschreef twee verwante aanvallen. Bij tool shadowing verandert de beschrijving van de ene server hoe de agent tools van een andere, vertrouwde server gebruikt. Bij een rug pull wijzigt een server zijn toolbeschrijvingen nadat de gebruiker de server al heeft goedgekeurd.

Waarom het werkte

Clients laden de toolbeschrijvingen van alle verbonden servers in één context. Het model kan documentatie van een leverancier niet onderscheiden van instructies van een aanvaller. Als een client een server eenmaal goedkeurt en daarna niet meer controleert, blijven latere wijzigingen onopgemerkt.

Wat u kunt doen

• Lees de volledige toolbeschrijvingen van een MCP-server voordat u ermee verbinding maakt; beperk u niet tot de toolnamen.
• Leg serverversies vast en bereken hashes van toolbeschrijvingen; vraag opnieuw om goedkeuring of geef een waarschuwing als een hash verandert.
• Verbind alleen de servers die een taak nodig heeft, zodat de tekst van de ene server de tools van een andere server niet kan sturen.
• Vereis goedkeuring voor toolaanroepen die gegevens verzenden of bestanden wijzigen.

Controleer skills, plugins en MCP-serversVraag goedkeuring voor ingrijpende acties

Doorloop de beveiligingschecklist →