MCP 连接阶段提示注入与缓存跨调用者投毒
先了解这件事
研究者 Mike Moore 在自建实验环境 mcp-redteam-lab 中复现了 MCP 连接阶段的提示注入：客户端会把服务器在 initialize 和 server/discover 中返回的 instructions 字段折入模型系统提示词，而该字段完全由服务器控制、无长度限制也无内容校验。对官方注册表的只读扫描显示，8,235 台在线服务器中有 5,462 台（66%）返回该字段，中位长度 577 字符，最长 68,669 字符。CSA 研究简报转述 Tenet Security 于 2026 年 6 月披露的 agentjacking 研究：不可信监控事件经 MCP 工具进入编码智能体后，可能被误当成可信指令；Tenet 自报受控测试成功率为 85%，并称发现 2,388 家组织存在相关暴露条件，这些均为研究方报告，暴露数量不等于确认受害数量，尚无独立复现。
AI 根据报道生成 · 4 天前更新
事件进展
后续时间线
- 日期未标webofmike.com精选研究者在 MCP 连接阶段复现提示注入与跨调用方缓存投毒
研究者 Mike Moore 在自建实验环境 mcp-redteam-lab 中复现了 MCP 连接阶段的提示注入：客户端会把服务器在 initialize 和 server/discover 中返回的 instructions 字段折入模型系统提示词，而该字段完全由服务器控制、无长度限制也无内容校验。对官方注册表的只读扫描显示，8,235 台在线服务器中有 5,462 台（66%）返回该字段，中位长度 577 字符，最长 68,669 字符。当发现响应带有 cacheScope: public 时，共享缓存或网关会把一个调用方的响应重新提供给另一个调用方，后者从未连接恶意服务器也会收到注入文本。作者在实验中给出四项控制：隔离并标记为不可信、限制 4,096 字符、缓存键绑定服务器身份与调用方、对 instructions 摘要做固定校验，并指出这些控制只阻止文本被采信，不阻止其被发送。
- 日期未标Cloud Security Alliance LabsTenet Security 披露 agentjacking 攻击：经 Sentry 与 MCP 劫持 AI 编码 Agent
CSA 研究简报转述 Tenet Security 于 2026 年 6 月披露的 agentjacking 研究：不可信监控事件经 MCP 工具进入编码智能体后，可能被误当成可信指令。Tenet 自报受控测试中的成功率为 85%，并称发现 2,388 家组织存在相关暴露条件；这些是研究方报告，暴露数量不等于确认受害数量，尚无独立复现。
相关讨论
关注度走势
每天新增来源
- 10月5日新增1个来源（1家媒体、0个账号）
- 10月6日新增1个来源（1家媒体、0个账号）
- 10月7日新增0个来源（0家媒体、0个账号）
- 10月8日新增0个来源（0家媒体、0个账号）
- 10月9日新增0个来源（0家媒体、0个账号）
- 10月10日新增0个来源（0家媒体、0个账号）
- 10月11日新增0个来源（0家媒体、0个账号）
- 10月12日新增0个来源（0家媒体、0个账号）
- 10月13日新增0个来源（0家媒体、0个账号）