A2M：MCP 生态系统中经轨迹优化的智能体劫持

使用 Model Context Protocol (MCP) 的智能体依赖语义匹配从第三方服务器中选择工具，这使攻击者控制的元数据和输出暴露出语义供应链风险。我们提出了 A2M（吸引—操纵），这是一个用于劫持 MCP 智能体的两阶段黑盒框架。吸引阶段优化工具元数据，以提高工具被调用的概率；操纵阶段利用执行轨迹来改进对抗性工具返回结果，引导智能体朝向攻击者期望的结果。在 LiveMCPBench 上，针对 GLM-4.6 优化并评估的直接攻击，在四种场景下实现了 93.6% 的恶意工具调用率宏平均值；在认知拒绝服务场景下，将加权令牌成本提高至良性基线的 32.4 倍；并在信息窃取、环境完整性破坏和推理偏离三个场景下取得了 74.4% 的平均攻击成功率。在无需重新优化的情况下迁移到另外四个模型后，相应的宏平均值分别为 63.6%、2.7 倍和 24.5%。这些发现表明，MCP 生态系统需要更严格的工具审查和运行时隔离。代码已公开发布于 https://github.com/Lilaizhen/A2M。