供应链安全 · 论文

论文提出了一种针对模型上下文协议（MCP）智能体的两阶段黑盒劫持框架 A2M。

• 问题背景：MCP 智能体自主从第三方服务匹配工具并信任执行返回，带来了语义元数据与输出载荷双重受控的供应链安全隐患，而现有攻击未能有效串联工具选择与调用后操纵。
• 方法核心：A2M 将攻击解耦为吸引与操纵两阶段；前期运用五类说服策略迭代工具名称与描述，筛选高调用率精英元数据；后期依托分析器-优化器架构，根据执行轨迹的结构化诊断反馈定向精炼返回载荷。
• 直接攻击结果：在 LiveMCPBench 上以 GLM-4.6 为目标模型，A2M 的平均恶意工具调用率达到 93.6%，C-DoS 加权 token 成本扩大至良性基线的 32.4 倍，IE、EIC 和 RD 的攻击成功率分别达到 65.9%、64.3% 和 92.9%（Table 1）。
• 迁移攻击结果：将 GLM-4.6 上优化的工具直接迁移至 Qwen3-Max、DeepSeek-V3.1、Kimi-K2-0905 和 GPT-5 四个模型，平均调用率为 63.6%，C-DoS 平均成本为 2.7 倍，三个场景平均攻击成功率为 24.5%（Table 1）。
• 高调用与成功断层：实验显示工具调用并不等同于攻击成功，如 GPT-5 在 64.9% 至 76.3% 的调用率下 IE 和 EIC 的成功率均为 0.0%（Table 1）；未成功攻击中载荷被忽略为主要失效原因（Table 8）。
• 防御与生态启示：评估显示困惑度检测与元数据释义难以完全阻断攻击，信息流控制虽能降低攻击成功率但仍存残余风险；作者呼吁 MCP 生态应建立更为严格的工具准入审查与运行时隔离机制。

本研究系统揭示了大模型智能体技能推荐场景下的虚构技能名称安全风险，将其形式化为一种新型供应链抢注攻击。

• 论文定位：该研究揭示了现代 AI 智能体框架在插件生命周期钩子更新路径上的信任失效，提出了首个跨框架自动化的生命周期钩子供应链攻击框架 HOOKPRY。
• 解决的问题：智能体框架将系统 Shell 命令绑定至运行时事件，且在框架底层独立派生子进程，绕过了大语言模型的推理闭环；框架在插件更新时继承既有信任，使攻击者可通过元数据和钩子配置更新静默植入并执行恶意命令。
• 方法要点：HOOKPRY 串联三项机制：对抗清单优化（AMO）利用多意图代理目标提升良性插件检索概率；时间解耦（TD）利用良性探针定位低验证高权限的信任边界并实施条件激活；最小公共接口（LCI）提取通用能力规范并编译为目标框架的原生钩子配置。
• 关键实验结果：
  • 在 7 个框架与 5 个后端的 1,000 次端到端测试中，HOOKPRY 微平均 E2E-ASR 达到 77.0%，在 Hermes 上达到 92.5%，在 Claude Code 上为 52.5%（Table 2）。
  • 在跨模型测试中，Codex CLI 的后端间标准差为 0.0 个百分点，Claude Code 为 2.5 个百分点，体现了事件触发后执行路径与模型的解耦特性（Figure 5）。
  • 在 50 个目标对比中，HOOKPRY 原生钩子的 E2E-ASR 为 92.0%，显著高于转换后 MCP 描述投毒的 56.0%（单侧二项检验 p = 7.09×10⁻¹²，Table 4）。
  • 在 40:40 静态测试中，Microsoft Defender 召回率为 0.0%，三款静态防御联合漏报率达到 47.5%（Table 6）。
• 作者结论与启示：作者指出，模型层的内容安全过滤无法触及推理流之外的钩子执行；智能体安全必须将插件更新审查、钩子独立重新授权、子进程最小特权分配与运行时监控纳入全链路防护。