---
title: "MCP 投毒研究报告跨 AI 框架的工具执行与秘密外传"
dek: "一篇 arXiv 摘要报告了覆盖 12 个框架、18 个模型的攻击测量，并区分工具调用与已确认的秘密外传。保存的来源未交代部署版本，其汇总成功率也存在待解释之处。"
---

Farooq Shaikh 和 Biagio Montaruli 于 2026 年 11 月 2 日提交一项研究，报告称，模型上下文协议（MCP）中的投毒内容可在多个智能体 AI 框架中触发工具执行和秘密外传。其 arXiv 摘要指出，MCP 将语言模型连接到外部工具提供方，同时把攻击者可控的工具描述、模式字段和响应数据未经验证地带入模型上下文。[^1]

作者称，他们使用开源工具 mcpvenom，测量了 12 个框架、18 个模型和 45 种攻击场景，形成包含 9,720 个单元的易受攻击性矩阵。研究描述了一套双重判定机制，通过接收金丝雀 HTTP 请求确认外传。在被标记为易受攻击的单元中，作者报告，64.9% 发起了攻击者工具调用，23.0% 联系了攻击者端点，12.1% 经确认外传了秘密。这些是不同的结果层次；仅发起调用，并不能确认秘密已经送达。[^1]

摘要将抵抗能力主要归因于模型，并称代码审计未在这十二个框架中发现有意设计的防御机制。作者还报告，一个基于正则表达式的描述扫描器拦截了 45 种场景中的 20 种，误报率为 7.2%，因此将元数据扫描视为局部控制措施。这些均为研究方报告的结果，本站未独立复现。[^1]

:::analysis
问题涉及 T6（evaluations，评估）和 T5（agents，智能体）：前者的结果定义决定一次“成功”究竟说明什么，后者涉及不可信工具内容如何影响行动。这里需要核查的属性是可识别性：如果为用户提供服务的确切版本和配置有记录且可查，用户就能判断自己是否接触过受影响的部署。用户和运营方应核对这些部署记录，以及系统接收工具内容的路径；保存的摘要既未列出受影响版本的范围，也未推荐修复版本，因此无法据此确定自身的暴露或修复状态。[^1]
:::

:::checked
我们于 2026 年 11 月 3 日阅读了保存的 arXiv 第 1 版摘要页面，论文题为《MCP Tool Poisoning in Agentic AI Frameworks: A Cross-Framework Measurement Study》。我们没有阅读论文全文、补充材料或代码，也没有测试任何系统。摘要同时报告总体成功率为 22.9%、易受攻击单元为 2,113 个，但 2,113 除以 9,720 约为 21.7%；保存的页面没有解释这一分母差异。[^1]
:::

[^1]: https://arxiv.org/abs/2611.03555