Breaking MCP with Function Hijacking Attacks: Novel Threats for Function Calling and Agentic Models

Resumen Técnico: Ataques de Secuestro de Funciones (FHA) en Modelos de Llamada de Funciones

1. El Problema

La evolución de la IA agéntica ha llevado a la adopción masiva de la Llamada de Funciones (Function Calling - FC), donde los Modelos de Lenguaje Grande (LLMs) invocan herramientas externas para ejecutar tareas. El Protocolo de Contexto de Modelo (MCP) se ha estandarizado como el marco para gestionar estas interacciones.

Sin embargo, la seguridad de estos sistemas es crítica. Mientras que la investigación previa se ha centrado en la inyección de prompts y el "jailbreaking" para generar contenido dañino, existe una brecha en la comprensión de cómo manipular el proceso de selección de herramientas en sí mismo. Los atacantes podrían forzar a un agente a ejecutar una función específica elegida por ellos (por ejemplo, borrar un repositorio en lugar de crearlo), incluso si no es la función semánticamente correcta para la solicitud del usuario.

2. Metodología: El Ataque de Secuestro de Funciones (FHA)

Los autores proponen un nuevo vector de ataque llamado Function Hijacking Attack (FHA). A diferencia de los ataques anteriores que dependen de la preferencia semántica entre el prompt y la función, FHA manipula la descripción de una función objetivo para forzar su invocación.

• Modelo de Amenaza:

  • El atacante no tiene acceso al prompt del usuario ni a la implementación del código (fuente), pero sí tiene control sobre la descripción textual de las funciones disponibles en el MCP (que es pública).
  • El ataque se realiza de forma offline (antes de que el agente interactúe con el usuario).
  • El objetivo es que el modelo seleccione una función objetivo ($f_{target}$) en lugar de la función de verdad ($f_{ground\_truth}$) requerida por la tarea.

• Implementación Técnica:

  • El ataque se basa en una adaptación del algoritmo GCG (Gradient-based Causal Generation) de Zou et al. (2023).
  • Inyección de Sufijos Adversarios: Se insertan tokens adversarios ($\hat{x}_I$) dentro de la descripción de la función objetivo.
  • Optimización: El algoritmo optimiza estos tokens para minimizar la pérdida de entropía cruzada ($L_{adv}$), forzando al modelo a generar el nombre de la función objetivo ($\hat{y}_{fh}$) como la primera salida de su generación.
  • Suposición Auto-regresiva: Una vez que el modelo genera el nombre de la función objetivo, su naturaleza auto-regresiva lo lleva a completar los parámetros necesarios, asumiendo que la función es la correcta.

• Ataques Universales:

  • Los autores extienden el FHA para que sea universal, optimizando un único sufijo adversario que funcione sobre un lote de múltiples consultas ($Q$) o sobre múltiples versiones de la carga útil (diferentes conjuntos de funciones), aumentando la robustez frente a perturbaciones.

3. Contribuciones Clave

1. Nuevo Vector de Ataque: Demuestran que la llamada de funciones es vulnerable a perturbaciones adversarias en la descripción de las herramientas, no solo en el prompt del usuario.
2. Independencia Semántica: A diferencia de ataques previos (como MPMA o inyección de funciones), FHA es agnóstico al contexto semántico. Funciona independientemente de la relación entre la consulta del usuario y la función, lo que lo hace aplicable en dominios diversos.
3. Universalidad y Robustez: Presentan un método para entrenar ataques que funcionan a través de múltiples consultas y configuraciones de herramientas, demostrando que un solo ataque puede "secuestrar" la selección de herramientas en escenarios dinámicos.
4. Evaluación Exhaustiva: Prueban el ataque en 5 modelos diferentes (incluyendo modelos instructivos y modelos de razonamiento como Qwen) y en dos frameworks MCP reales (GitHub y Slack).

4. Resultados Experimentales

Los experimentos se realizaron utilizando el dataset BFCL (Berkeley Function Calling Leaderboard) y modelos como Llama-3.2-3B, Mistral-7B y la familia Qwen-3.

• Tasa de Éxito del Ataque (ASR):
  • FHA logró tasas de éxito entre 70% y 100% en los modelos evaluados.
  • En modelos de razonamiento (Qwen), el ataque logró no solo seleccionar la función incorrecta, sino también suprimir el proceso de pensamiento (thinking) del modelo, forzándolo a saltar directamente a la llamada de la herramienta.
• Comparación con Baselines:
  • Inyección de Funciones: Logró un ASR moderado (50-80%), pero dependía de que la función inyectada fuera semánticamente preferible.
  • MPMA (Preference Manipulation Attack): Tuvo un rendimiento muy bajo (<10%) en entornos diversos, ya que depende de similitudes textuales que no existen cuando las funciones son semánticamente distintas.
  • FHA: Superó consistentemente a ambos baselines, demostrando mayor flexibilidad y generalización.
• Robustez:
  • El ataque es robusto a perturbaciones moderadas en la carga útil (añadir 1-3 funciones "ruido").
  • Al entrenar con estrategias de "lotes" (Batch of position/number), la robustez aumenta significativamente, manteniendo un ASR >85% incluso con 25 funciones adicionales en el payload.
• Tamaño del Sufijo: Se encontró que se necesitan sufijos adversarios más grandes (60 tokens) en comparación con el jailbreaking NLP clásico debido al contexto más extenso de las tareas de llamada de funciones, aunque esto representa solo un ~5% del total del input.

5. Significado e Implicaciones

• Vulnerabilidad Sistémica: El estudio revela que la seguridad de los sistemas agénticos no puede depender únicamente de la validación del prompt del usuario. La integridad de las descripciones de las herramientas es un punto crítico de fallo.
• Riesgo en MCP: Dado que el MCP expone las descripciones de las herramientas, un atacante con acceso a modificar estas descripciones (o inyectarlas en un servidor MCP comprometido) puede tomar el control de la lógica de decisión del agente.
• Necesidad de Defensas: Los autores concluyen que se requieren guardarraíles (guardrails) y módulos de seguridad robustos que verifiquen no solo la intención del usuario, sino también la integridad y la coherencia de la selección de herramientas, independientemente de cómo se haya generado la llamada.
• Desafío Futuro: La capacidad de crear ataques universales sugiere que las defensas actuales basadas en la detección de patrones específicos de prompts son insuficientes. Se necesitan nuevas arquitecturas de seguridad que consideren la dinámica de selección de herramientas como un vector de ataque primario.

En resumen, este trabajo demuestra que los modelos de IA agéntica son inherentemente vulnerables a la manipulación de sus interfaces de herramientas, planteando un riesgo significativo para la seguridad de sistemas autónomos en producción.