打破协议：MCP 规范的安全分析与工具集成 LLM 智能体的提示注入漏洞
Breaking the Protocol: Security Analysis of the Model Context Protocol Specification and Prompt Injection Vulnerabilities in Tool-Integrated LLM Agents
论文速读
据论文全文整理（AI 生成），以原文为准
论文对 Model Context Protocol（MCP）规范 v1.0 做了系统性安全分析，指出三类协议级漏洞：服务器能力声明缺乏验证、sampling 请求缺少来源认证可被用于服务端提示注入、多服务器配置中的隐式信任传播。
- MCP 已成为 LLM 集成外部工具的事实标准，但尚无对其协议规范的正式安全分析。作者认为 MCP 的架构选择会放大攻击成功率，而此前工作只关注实现漏洞或通用 prompt injection，未与无 MCP 的基线对比。
- 作者对 MCP v1.0 规范做安全分析，指出三类协议级缺陷：能力声明无认证、sampling 无来源认证、多服务器隐式信任传播。他们构建 ProtoAmp 框架，把已有 agent 安全基准适配到 MCP 环境，并与等价的非 MCP 直接调用基线做对照实验；随后提出向后兼容的扩展 AttestMCP，加入能力认证、消息认证、来源标记与隔离授权。
- 在 847 个攻击场景、五个 MCP 服务器和三种 LLM 后端上，作者报告 MCP 架构使攻击成功率比非 MCP 集成高 23–41%，跨服务器传播放大最明显；sampling 攻击成功率达 58–72%，五服务器配置下单点被控可达 78.3%。AttestMCP 将总体攻击成功率从 52.8% 降至 12.4%，中位延迟开销 8.3ms（冷启动）或 2.4ms（缓存）。
- AttestMCP 无法应对合法授权服务器提供恶意内容、用户被社工授权、CA 被攻破、首次接触攻击，以及生态中多数服务器未签名导致用户退回宽松模式的情况；残余 12.4% 攻击成功率主要来自合法内容中的间接注入。作者还指出实验仅用五个服务器、未做形式化验证，且 ASR 测量假设用户会认真审查跨服务器授权提示，实际可能因告警疲劳而失效。
论文对 Model Context Protocol（MCP）规范 v1.0 做了系统性安全分析，指出三类协议级漏洞：服务器能力声明缺乏验证、sampling 请求缺少来源认证可被用于服务端提示注入、多服务器配置中的隐式信任传播。作者称这是对 MCP 规范的首个严格安全分析。研究实现 ProtoAmp 框架，把既有智能体安全基准接入 MCP 环境，在五个 MCP 服务器实现、847 个攻击场景上测试，发现 MCP 的架构选择使攻击成功率比等价的非 MCP 集成高出 23–41%，跨服务器传播的放大最明显；利用 sampling 的攻击成功率为 58–72%。作者提出向后兼容的协议扩展 AttestMCP，加入能力认证、消息认证与来源标记，将整体攻击成功率从 52.8% 降至 12.4%，每条消息中位延迟开销 8.3ms（冷启动）或 2.4ms（缓存命中）。
推荐理由论文用 847 个攻击场景对比 MCP 与非 MCP 集成，量化协议设计本身带来的攻击成功率增幅，并给出向后兼容的协议扩展方案。