MCP-ITP：面向 MCP 隐式工具投毒的自动化框架
MCP-ITP: An Automated Framework for Implicit Tool Poisoning in MCP
论文速读
据论文全文整理（AI 生成），以原文为准
研究者提出 MCP-ITP，一个面向 MCP 生态隐式工具投毒的自动化框架，论文称其为该场景下首个自动化自适应框架。
- MCP 让第三方工具可自由发布且缺乏统一安全审查，工具元数据中的恶意指令会在注册阶段注入 agent 上下文，形成 tool poisoning。已有研究多关注显式投毒（需 agent 直接调用恶意工具），容易被执行监控发现；更隐蔽的隐式投毒（恶意工具本身不被调用，而是诱导 agent 调用合法高权限工具）尚缺自动化方法。
- 提出 MCP-ITP，首个面向 MCP 生态的自动化自适应隐式工具投毒框架。把投毒工具描述拆成 R（伪装成与原工具 TA 语义一致）和 S（实现投毒），将 S 的生成建模为黑盒优化，用攻击 LLM 迭代生成候选，并由检测 LLM 反馈规避性、评估 LLM 在影子查询上反馈有效性，通过树状搜索迭代优化。
- 在 MCPTox 数据集（45 个真实 MCP 服务器、353 个工具，取 548 个隐式投毒用例）上对 12 个 LLM agent 评测。相比人工构造基线，ASR 普遍提升，如 GPT-3.5-turbo 从 48.2% 升至 84.2%、DeepSeek-V3 从 44.8% 升至 78.4%，同时 MDR 最低降至 0.3%；提升主要来自 Ignored 失败减少。消融显示模型能力越强、开启 reasoning 越易被操纵，加入 R 对强模型有利，用较弱评估 LLM 反而泛化更好。
- 当检测方使用更强模型时，MCP-ITP 的 MDR 仍会上升，如何在不明显牺牲攻击效果的前提下更好规避检测是后续方向。评测仅限 MCPTox 数据集，因 MCP 隐式投毒数据有限，未来应扩展到更广数据集；工作以实证评估为主，未提供形式化理论分析。
研究者提出 MCP-ITP，一个面向 MCP 生态隐式工具投毒的自动化框架，论文称其为该场景下首个自动化自适应框架。隐式投毒中被投毒的工具本身从不被调用，而是靠工具元数据里的指令诱导 Agent 改调合法但高权限的目标工具执行恶意操作。方法把投毒工具生成建模为黑盒优化问题，用攻击 LLM、检测 LLM 与评估 LLM 的迭代反馈同时提高攻击成功率并规避检测。在 MCPTox 数据集（45 个真实 MCP 服务器、353 个真实工具）的 548 个隐式投毒用例上，跨 12 个 LLM Agent 评测，GPT-3.5-turbo 的 ASR 从 48.2% 升到 84.2%，DeepSeek-V3 从 44.8% 升到 78.4%，MDR 在 AI-Infra-Guard 下最低降至 0.3%。
推荐理由论文在 12 个模型上给出隐式工具投毒的攻击成功率与检测规避数据，部署 MCP 工具的团队可据此评估注册阶段的元数据风险。