打破协议：MCP 规范的安全分析与工具集成 LLM 智能体的提示注入漏洞
Breaking the Protocol: Security Analysis of the Model Context Protocol Specification and Prompt Injection Vulnerabilities in Tool-Integrated LLM Agents
AI reading guide
论文对 Model Context Protocol（MCP）规范 v1.0 做了系统性安全分析，指出三类协议级漏洞：服务器能力声明缺乏验证、sampling 请求缺少来源认证可被用于服务端提示注入、多服务器配置中的隐式信任传播。作者称这是对 MCP 规范的首个严格安全分析。研究实现 ProtoAmp 框架，把既有智能体安全基准接入 MCP 环境，在五个 MCP 服务器实现、847 个攻击场景上测试，发现 MCP 的架构选择使攻击成功率比等价的非 MCP 集成高出 23–41%，跨服务器传播的放大最明显；利用 sampling 的攻击成功率为 58–72%。作者提出向后兼容的协议扩展 AttestMCP，加入能力认证、消息认证与来源标记，将整体攻击成功率从 52.8% 降至 12.4%，每条消息中位延迟开销 8.3ms（冷启动）或 2.4ms（缓存命中）。
Why it was selected
论文用 847 个攻击场景对比 MCP 与非 MCP 集成，量化协议设计本身带来的攻击成功率增幅，并给出向后兼容的协议扩展方案。