arXiv cs.AI· Yuepeng Hu, Chongyu Fan, Sirat Samyoun, Jian Du·· 12 小时前AI 评分49
Log-To-Leak：通过模型上下文协议对工具调用型 LLM 智能体发起提示词注入攻击
Log-To-Leak: Prompt Injection Attacks on Tool-Using LLM Agents via the Model Context Protocol
AI 导读
研究者提出 Log-To-Leak，一种针对 MCP 工具调用型 LLM 智能体的附加式事后日志攻击，可在最后一次合法调用后诱导出攻击者控制的额外调用。在 18 个模型-服务器组合中，攻击成功率达 62.64-100%，条件日志准确率 76.55-95.64%，其中 16 个组合的目标任务完成率变化不超过 6.63 个百分点。
正文 · AI 翻译
摘要：LLM 智能体越来越多地通过模型上下文协议（MCP）访问外部工具，但用于描述这些工具的自然语言元数据构成了提示注入面。在这一既有的工具投毒面上，我们研究了 Log-To-Leak，这是一种附加式的后置日志攻击，会在最后一次合法调用之后诱导一次由攻击者控制的独立调用。其载荷针对用户查询、MCP 服务器名称、服务器响应和智能体响应。我们通过 Trigger、Tool Binding、Justification 和 Pressure 来具体实现注入的指令，并分别测量调用成功率、载荷保真度和合法行为的保持情况。我们使用涵盖有效性、实用性和效率的五项指标评估了五个 MCP 服务器和四个 LLM 智能体。在 18 个具有有效工具执行的模型-服务器对中，Log-To-Leak 达到 62.64-100% 的攻击成功率（ASR）和 76.55-95.64% 的条件日志记录准确率（LA）；16 个对的目标任务完成度的绝对变化至多为 6.63 个百分点。在 GitHub MCP 配合 GPT-4o 的情况下，三种被评估的防御措施仍留有超过 55% 的残余 ASR，而一个指令检测器将 85.53% 的良性描述标记为异常。这些结果表明，成功完成任务可以与未经授权的后置泄露共存，并促使对二次工具调用实施主机控制的授权。
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| 引用为： | arXiv:2610.36108 [cs.CR] |
| （或 arXiv:2610.36108v1 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.36108 由 DataCite 颁发的 arXiv DOI（待注册） |
提交历史
来自：Yuepeng Hu [查看电子邮件]
[v1]
2026年10月26日星期一 18:20:24 UTC（788 KB）
来源：arXiv cs.AI · arxiv.org