智能体 AI 框架中的 MCP 工具投毒：一项跨框架测量研究

模型上下文协议（MCP）使智能体 AI 框架能够将语言模型连接到外部工具提供方，但它会将攻击者控制的内容（工具描述、模式字段和响应数据）未经验证地带入模型上下文。以往的基准测试衡量模型对投毒指令的遵从程度，却不确认是否真正执行。我们首次开展了涉及真实工具执行的跨框架 MCP 工具投毒测量研究。一套包含 25 类根因的分类体系统一了以往的分类，开源工具 mcpvenom 则驱动构建了一个涵盖 12 个框架、18 个模型和 45 种攻击场景、包含 9,720 个单元格的易感性矩阵，并采用双重判定机制，通过接收到金丝雀 HTTP 请求来确认数据外泄。总体攻击成功率为 22.9%（2,113 个易受攻击的单元格）。其中，64.9% 发起了对攻击者工具的调用，23.0% 联系了攻击者端点，12.1% 经验证确实泄露了秘密信息。抵抗能力取决于模型层面：九个核心框架的攻击成功率集中在 23% 至 26% 之间（卡方值 = 3.30，p = 0.91），且没有任何框架实施了专门设计的防御措施。框架的附带特性在特定情况下能够缓解攻击，而基于正则表达式的描述扫描器以 7.2% 的误报率拒绝了 45 种场景中的 20 种，因此仅靠元数据扫描只能提供部分防护。各模型的攻击成功率（ASR）介于 0.4% 至 49.7% 之间。Claude Opus 4.8 在 530 个单元格中有 8 个易受攻击，同时明确拒绝了 223 次。代码级审计发现，十二个框架均未实施专门设计的防御措施，而涉及四家供应商的全部五次协调漏洞披露均遭拒绝。