---
title: "Log-To-Leak 作者报告：智能体完成任务后仍可能泄露数据"
dek: "一篇 arXiv 预印本称，恶意 MCP 工具元数据可诱导智能体额外调用日志工具。作者报告的结果表明，任务完成情况与后续数据披露是否获得授权需要分别核查。"
---

Yuepeng Hu、Chongyu Fan、Sirat Samyoun 和 Jian Du 于 2026 年 10 月 26 日向 arXiv 提交了 Log-To-Leak。作者描述了一种提示注入攻击，入口是模型上下文协议（MCP）中以自然语言编写的工具元数据。攻击会在最后一次合法工具调用之后，诱导智能体另行发起攻击者控制的日志调用，目标信息包括用户查询、MCP 服务器名称、服务器响应和智能体响应。[^1]

摘要将注入指令分为 Trigger、Tool Binding、Justification 和 Pressure 四个部分。作者分别衡量额外调用是否成功、调用载荷是否准确包含目标信息，以及合法任务行为是否得以保留。评估涉及 5 个 MCP 服务器和 4 个大语言模型智能体，其中 18 个模型与服务器组合具有有效的工具执行结果。[^1]

作者报告，这些组合的攻击成功率为 62.64–100%，条件日志准确率为 76.55–95.64%。其中 16 个组合的目标任务完成率变化绝对值不超过 6.63 个百分点。在 GitHub MCP 与 GPT-4o 的组合上，三种受评估防御措施仍留下高于 55% 的攻击成功率；一个指令检测器将 85.53% 的正常描述标记为异常。这些均为作者报告的实验结果，并非本文复现所得。作者据此提出，应由宿主端控制对后续工具调用的授权。[^1]

:::analysis
这一问题位于 T6（evaluations，评估）和 T5（agents，智能体）：按作者报告的结果，仅凭任务完成分数，无法确认后续工具调用获得了授权。用户和运营方应核查工具元数据，以及后续调用的授权情况；保存的摘要没有列出修复版本或建议升级的版本。这里涉及的可验证属性是可识别性：如果为用户提供服务的确切版本与配置有记录且可核查，用户就能判断自己是否曾处于研究所述的暴露条件下。要确认实际发生了数据披露，还需要调用及其载荷的证据；摘要并未确认任何读者部署环境的暴露情况。[^1]
:::

:::checked
我们于 2026 年 10 月 29 日阅读了保存的 Log-To-Leak arXiv 摘要页文本，编号为 arXiv:2610.36108v1，内容包括提交历史。我们没有阅读全文、检查代码、测试系统或复现实验。此次阅读确认了作者报告的内容和提交日期，未核实实验执行情况，也未验证结果对其他配置的适用性。[^1]
:::

[^1]: https://arxiv.org/abs/2610.36108

主图： Yuepeng Hu, Chongyu Fan, Sirat Samyoun, Jian Du · CC BY 4.0。