arXiv cs.MA· Yichiet Aun (Universiti Tunku Abdul Rahman), Mohammed A. Alhartomi (University of Tabuk), Jing Jie Tan (National University of Singapore), Waqas Nadeem (Universiti Tunku Abdul Rahman), Adeb Salh (Universiti Tunku Abdul Rahman), Shankar Karuppayah (Bitranger, CYRES, Universiti Sains Malaysia), Sin Chee Tan (ABLEs)·· 10 小时前AI 评分47
签名有效仍会泄密：MCP 工具链的信任失效与 germline execution 防御
Signed, Sealed, Leaked: Trust Beyond Signature for MCP Toolchains
AI 导读
研究者展示了一个已签名的 MCP 工具可在执行正常功能的同时隐藏恶意代码，将敏感数据嵌入发往策略允许目的地的请求中，Meta 的 MCPGuard-Dynamic 在同一轮虽拦截了直接外泄尝试，却未能阻止该攻击。
正文 · AI 翻译
摘要：AI 智能体依赖第三方工具，例如模型上下文协议（MCP）服务器，其发布者可以被认证，其执行可以受到运行时安全策略的限制。然而，真实性并不能保证良性行为：一个合法签名的工具可能在执行其宣称功能的同时隐藏恶意代码，从而泄露机密信息。我们用一个已签名的 MCP 工具演示了这种信任失效，该工具将敏感数据嵌入发往策略允许目的地的请求中。Meta 的 MCPGuard-Dynamic 是一种最先进的运行时防御，在同一次运行中阻止了直接的数据外泄尝试，但未能阻止每一次试验中的这种攻击。我们引入了种系执行（germline execution），它无需检查或信任工具实现即可限制信息泄露。每次工具调用都在从无数据种系进程分叉出的临时副本中运行，每个副本只接收为其目的地授权的信息。即使恶意代码被执行，其可泄露的内容也受限于其副本可用的数据。在关于副本隔离和无数据种系的明确假设下，我们证明了每个已签名发布版本的汇点非干扰性，并且对于在我们的重放模型中具有确定性的发布版本，证明了经验证的见证可确立流违规。在 153 次攻击运行中，种系执行下未检测到任何未经授权的泄露，而基线防御和消融实验下为 5.9-74.5% 的运行。由单个副本处理的调用在 10-49 毫秒内完成，比每次调用都重启工具（清除状态的常规方式）快 2-28 倍。这些结果表明，数据隔离执行可保护智能体工具链免受隐藏在已认证软件中的恶意代码的侵害。
| 评论： | 24 页，5 幅图，15 张表 |
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI）；多智能体系统（cs.MA） |
| 引用为： | arXiv:2611.06585 [cs.CR] |
| （或此版本的 arXiv:2611.06585v1 [cs.CR]） | |
| https://doi.org/10.48550/arXiv.2611.06585 由 DataCite 颁发的 arXiv DOI（待注册） |
提交历史
来自：Yichiet Aun [查看邮箱]
[v1]
2026 年 11 月 4 日星期三 14:40:32 UTC（230 KB）
来源：arXiv cs.MA · arxiv.org