Agent 安全 · 论文

• 定位与核心问题：本研究系统评估了MCP工具调用流水线中的输入信任问题，针对所有通道共享单一上下文且缺乏权限隔离的设计弱点，探索恶意MCP服务器如何利用多通道实施凭证外发。
• 方法核心要点：通过受控测试5个输入通道与6种载荷构架建立了模型的隐式信任画像；提出双通道与三通道分段攻击，将恶意模式与映射指令分散在工具描述与工具结果等不同通道；针对强抵御模型设计了符合工具声明目的的价值对齐利用，以及利用VS Code采样接口注入配置提示词的系统提示词覆盖攻击。
• 关键实验结果：
  1. 双通道分段攻击使12个模型的平均遵从率从单通道的42%上升至82%，使GPT-4o、Gemini Flash与Llama 70B从0%遵从跃升至100%（Table IV）。
  2. 三通道分段攻击使在单通道和双通道下完全防御的Claude Haiku 4.5在Cursor中遵从率达到100%（20/20）（Table IV）。
  3. 针对抵御所有分段攻击的Sonnet 4.6与Opus 4.6，泄露凭证扫描器在Cursor中实现了20/20与18/20的.env文件外发（Table V）。
  4. 受测的7款主流第三方MCP安全工具对两通道与三通道分段攻击的检出率均为0%（Table IX）。
• 作者结论与启示：作者认为模型的安全性不仅取决于训练对齐，更是模型与具体部署环境（如客户端系统提示词）交互的产物；现有多通道共享上下文且无特权分级的架构存在根本性安全缺陷，亟需在客户端实施通道特定的输入清洗、严格的工具参数类型约束以及跨通道安全感知训练。

PRETEXT 是一项针对基于“静态规则加语义大模型”的智能体技能安全检测框架的白盒攻击与协同进化评估研究。

• 研究定位：该研究聚焦基于技能的大语言模型智能体生态，形式化并实证评估了将攻击目标分散于多个技能中的技能级联攻击威胁。
• 核心问题：现代智能体通过共享上下文窗口跨技能传递数据，现有安全防御均基于单技能审查假设，无法发现单个技能看似正常但多技能协同产生危害的安全风险。
• 方法架构：作者设计了由场景发现、攻击生成、隔离扫描、测试构造和沙箱裁决等 5 个智能体构成的闭环红队框架 SKILLCASCADE，构建并开源了包含 213 个测试用例的 SKILLCASCADE-BENCH 基准。
• 关键实验结果：在 OpenClaw、Claude Code 与 Codex 配合 8 种骨干模型的 24 种配置下，级联攻击平均 ASR 达到 89.4%（Table 2）；面对 5 款单技能扫描器，修改后技能的隐蔽率保持在 86.6% 以上（Table 3）；面对 4 种运行时防御框架，平均逃逸率达 88.5%（Table 5）；撤销三技能级联中任一修改，残余 ASR 降至 13–18%（Figure 4a）。
• 作者结论与启示：作者认为组件级别的良性并不等同于系统整体的安全，现有多技能智能体系统在跨技能语义交互层面缺乏有效防护，呼吁安全研究从孤立的单技能审查转向跨技能交互分析与组合安全推理。