MCP for agent-to-agent comms may be the riskiest protocol you've never heard of

用于代理间通信的MCP可能是你从未听说过的风险最大的协议 - Ars Technica

LOST IN TRANSLATION

用于代理间通信的MCP可能是你从未听说过的风险最大的协议

新协议中的信任漏洞使恶意提示在代理之间传播。

Dan Goodin

–

2026年10月5日 下午6:26

|

32

Credit: Getty Images

Button

Text settings

Panel

Story text

Size

Small

Standard

Large

Width

*

Wide

Links

Orange

• 仅限订阅者

了解更多

最小化到导航栏

数百万组织采用AI代理，为攻击者创造了新的机会，使这些代理执行恶意操作，例如窃取数据库内容和敏感的商业及个人信息。

在过去五个月内，Google和其他四个组织（除使用AI代理这一共同点外几乎没有任何关联）承认存在利用目标网络内部某个代理向其他内部代理传播有害指令的漏洞。这种技术是一种特殊形式的提示注入，其目标不是LLM本身，而是特定代理，例如翻译或数据分析代理。此类代理内部的防护措施（如果存在的话）通常较为宽松，会将指令传递给后续代理。由于后一个代理明确信任第一个代理，因此会遵循这些指令。

意想不到且难以缓解

独立研究员Syed Anas Mohiuddin测试了包括Google、摩根大通、Weviate、Rapid7、法国政府跨部数字总署和美国联邦政府在内的组织的代理。他的概念验证攻击利用了MCP（Model Context Protocol，模型上下文协议）中的信任漏洞。该标准是AI应用和代理在内部网络中相互通信的一种方式。下图展示了简化版MCP的工作原理。

许多专用代理缺乏可能缓解提示注入最严重后果的防护措施。由于MCP服务器为每个代理存储凭证，且代理被设计为信任所有其他内部代理，因此原本会被LLM拒绝的攻击得以成功。在许多情况下，精心设计的针对正确代理的提示会导致服务器端请求伪造（SSRF），这是一种使Web服务器发起未经授权网络请求的漏洞。

“AI代理为攻击者提供了新的连接路径，”Rapid7漏洞情报主管Douglas McKee告诉Ars。“有人在内容中植入文本，代理会读取它，然后将其作为正常委派任务传递给另一个代理，而第二个代理会执行它，因为它信任将任务交给它的人。这条链中的每个环节都准确执行了其设计功能，这正是使问题难以发现的原因。每个协议都假设它独立存在，因此每个协议只检查自己的入口，而无人关注中间的走廊。”

Rapid7网络中Mohiuddin发现的漏洞CVE-2026-97228严重性评分为10分制中的2.7分。Rapid7已于上个月修复了该漏洞。

影响Google的漏洞更为严重，评分为8分。该漏洞源于Google的数据库MCP工具箱（googleapis/mcp-toolbox）初始化HTTP客户端时未使用CheckRedirect策略，这是一组控制服务器如何处理URL返回错误或重定向到不同URL的设置。Google的HTTP客户端也未能验证目标IP地址。

“精心设计的路径参数可能使工具箱跟随重定向到内部端点，并以攻击者的名义发送请求，”穆希丁解释道。谷歌的修复方法涉及应用IP范围的白名单和黑名单。“它在启动时就拒绝不安全的基础URL，而不是在首次请求时才拒绝。这才是真正的SSRF防护应该有的样子。这需要的工作量也比大多数MCP服务器所做的要多得多。”

穆希丁将此类攻击称为“协议跳转”，因为当应用程序或服务器使用MCP将任务分配给代理，而代理随后使用不同的通信方式（如谷歌的代理到代理（A2A）协议，用于代理间委派，或新兴标准如代理网络协议）将恶意指令转发给另一个代理时，这种攻击就会奏效。他指出，通常情况下，信任或授权在转换过程中会有效丢失。他将协议跳转描述为“一种多步骤攻击，攻击者通过一种协议获得初始访问权限，利用协议间的信任假设，并通过另一种协议升级到仅能通过该协议访问的功能。”

X41 D-Sec的研究员马库斯·维尔维（Markus Vervier）也设计过利用MCP的AI攻击，他表示，“prompt injection”仍然是更贴切的术语，而穆希丁的技术只是该术语的一个简单子类。

“对我来说，这属于间接的提示注入，”他告诉Ars。“恶意提示可能来自不同协议（例如A2A），并在通过其他协议使用时显现，但这并不是此类攻击奏效的必要条件。当然，这种情况是出乎意料的，总体而言也很难缓解。”

值得注意的是，这种跳转技术在五个毫无关联的组织中都奏效，唯一共同点是它们都使用了MCP。MCP是一项新技术，尚未经过充分测试和加固就已经被广泛采用。在组织急于构建庞大代理架构的过程中，他们放弃了被称为“零信任”的核心安全原则。在这种模型下，网络的构建基于一个假设，即一个或多个节点可能已被感染。为了减轻影响，工程师必须设计节点在与其他节点进行敏感交易前必须获得授权。

“我希望人们能记住的教训是，任何从LLM传递到你的工具的内容都应被视为来自互联网陌生人的输入，因为在提示注入场景中，它确实就是如此，”麦基（McKee）说道。这些漏洞背后的原理是诸如注入和SSRF等老朋友，而修复方法在过去20年里并没有改变。感谢研究人员为其命名，因为正是名称促使防御者和标准机构真正为其设计解决方案。”

高级安全编辑

丹·古丁（Dan Goodin）是Ars Technica的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客、加密和密码的报道。在空闲时间，他喜欢园艺、烹饪和关注独立音乐场景。丹目前常驻旧金山。你可以通过以下方式关注他：

here

在Mastodon上和

在Bluesky上。通过Signal联系他，联系方式是DanArs.82。

32条评论