MCPHunt: An Evaluation Framework for Cross-Boundary Data Propagation in Multi-Server MCP Agents

1. Planteamiento del Problema

El artículo aborda una vulnerabilidad de seguridad crítica y no adversaria en los agentes del Protocolo de Contexto de Modelo Multi-Servidor (MCP). Mientras que la investigación de seguridad existente se centra en ataques adversarios (por ejemplo, inyección de prompts, jailbreaks, servidores maliciosos), este trabajo identifica un riesgo estructural inherente a la composición fiel de herramientas.

• El Problema Central: En un entorno multi-servidor, un agente puede leer legítimamente datos sensibles (por ejemplo, claves API, credenciales) de un servidor (por ejemplo, una base de datos o un archivo de configuración) y escribirlos en otro (por ejemplo, un navegador, un script o un directorio diferente) para completar una tarea del usuario.
• El Riesgo: Esta "propagación de datos composicional" resulta en que las credenciales crucen límites de confianza sin intención maliciosa. El agente se comporta exactamente como se le instruyó, sin embargo, las credenciales de producción quedan inadvertidamente expuestas en nuevas ubicaciones fuera de sus límites originales de control de acceso.
• La Brecha: Las evaluaciones actuales miden la robustez adversaria o la inferencia composicional (síntesis de nueva información), pero ninguna mide la propagación literal de credenciales preexistentes durante la ejecución rutinaria de tareas no adversarias.

2. Metodología: Marco MCPHunt

Los autores presentan MCPHunt, el primer benchmark controlado diseñado para aislar y medir la propagación transfronteriza de credenciales no adversaria. El marco se basa en tres pilares metodológicos:

A. Rastreo de Taint Basado en Canarios

• Mecanismo: En lugar de usar secretos reales, el sistema inyecta cadenas canario de formato auténtico (por ejemplo, sk_live_..., AKIA..., ghp_...) en el espacio de trabajo (archivos, bases de datos, grafos de conocimiento).
• Detección: La propagación se detecta mediante coincidencia de cadenas objetiva en los argumentos de las llamadas a herramientas. Si un canario aparece en un "sumidero" (operación de escritura) después de haber sido leído desde una "fuente", se marca como una fuga. Esto elimina la necesidad de anotación humana y reduce los falsos positivos.

B. Diseño Controlado por Entorno

Para asegurar que la propagación detectada se deba a la topología de la tarea y no a artefactos del formato de las credenciales, el marco ejecuta tareas en tres condiciones distintas:

1. Riesgosa: Contiene canarios de formato auténtico.
2. Benigna: Estructura idéntica pero con marcadores de posición inofensivos (sin canarios). Se utiliza para verificar que el detector produzca un 0% de falsos positivos.
3. Negativa Dura: Contiene marcadores de posición legibles por humanos con temática de seguridad (por ejemplo, test_key_not_for_production). Esto prueba si el formato de la credencial impulsa la fuga o si el flujo de datos en sí mismo es suficiente.

C. Estratificación CRS (Completar-Requiere-Secretos)

El marco distingue entre dos tipos de propagación para aislar fallos de seguridad genuinos:

• Propagación Mandada por la Tarea (CRS): El prompt instruye explícitamente al agente a copiar datos literalmente (por ejemplo, "copia todo", "exporta todo"). La propagación aquí es un riesgo de despliegue, no un fallo del modelo.
• Propagación que Viola la Política (No-CRS): El prompt solicita un artefacto derivado (por ejemplo, "escribe un resumen", "genera un informe"), sin embargo, el agente incluye credenciales en bruto. Esta es la métrica principal de seguridad.

3. Contribuciones Clave

1. Marco de Medición: Una metodología reutilizable y agnóstica al modelo que utiliza el rastreo de canarios y la estratificación CRS para cuantificar las tasas de propagación que violan la política.
2. Taxonomía de Riesgos: Una clasificación de 9 familias de mecanismos de riesgo basados en patrones de flujo de datos de fuente a sumidero (por ejemplo, browser_to_local, config_to_script, db_to_artifact).
3. Evidencia Empírica: Una evaluación a gran escala en 5 modelos, 147 tareas y 3.615 trazas, demostrando que la propagación es una propiedad estructural del flujo de trabajo y no solo una deficiencia del modelo.

4. Resultados Clave

Tasas de Propagación

• General: En 5 modelos (GPT-5.4, GPT-5.2, DeepSeek, Gemini, MiniMax), las tasas de propagación que violan la política oscilaron entre el 11,5% y el 41,3%.
• Especificidad del Mecanismo: La propagación es altamente dependiente de la vía. El mecanismo browser_to_local tuvo la tasa más alta (74,4% para GPT-5.4), ya que los agentes luchan por filtrar contenido HTML en bruto. En contraste, indirect_exposure fue del 0%.
• Significancia Estadística: La familia de mecanismos representó el 62% de la varianza en el riesgo de propagación (pseudo-R²), mientras que la identidad del modelo representó solo el 32%. Esto demuestra que dónde fluyen los datos es un predictor de riesgo más fuerte que qué modelo los procesa.

Generalización Trans-Modelo

• Una mayor utilidad (éxito de la tarea) no se correlaciona con una menor propagación. Por ejemplo, MiniMax-M2.7 tuvo la utilidad más alta (92,2%) pero también la mayor propagación que viola la política (41,3%).
• El control de Negativa Dura confirmó que las credenciales en formato de producción no son necesarias para las fugas; el flujo transfronterizo dirigido por el prompt por sí solo es suficiente para causar propagación.

Análisis de Mitigación

• Defensas a Nivel de Prompt: Las mitigaciones graduales de prompts (desde recordatorios genéricos hasta instrucciones detalladas conscientes de los límites) redujeron la propagación que viola la política hasta en un 97% para GPT-5.4. Sin embargo, la efectividad varió significativamente según el modelo, correlacionándose con las capacidades de seguimiento de instrucciones.
• Limitaciones de los Prompts: Los prompts fueron menos efectivos contra las tareas browser_to_local y no lograron detener la propagación mandada por la tarea (CRS) (que es estructuralmente requerida por el prompt).
• Guardia de Taint en Tiempo de Ejecución: Una guardia simulada post-hoc (enmascarando canarios en el momento de la escritura) bloqueó el 85–96% de las trazas inseguras en todos los modelos, lo que sugiere que la aplicación en la capa de orquestación es más efectiva e independiente del modelo que la ingeniería de prompts.

5. Significado e Implicaciones

• Redefinición de la Seguridad de Agentes: El artículo desplaza el enfoque de "modelos maliciosos" a "efectos secundarios estructurales". Argumenta que incluso modelos perfectamente alineados filtrarán credenciales si la topología del flujo de trabajo dirige datos a través de límites de confianza sin lógica de enmascaramiento.
• Infraestructura vs. Modelo: Los hallazgos sugieren que confiar únicamente en el alineamiento del modelo (RLHF) o en la ingeniería de prompts es insuficiente. Una mitigación efectiva requiere orquestación consciente del flujo de datos (por ejemplo, guardias de taint en tiempo de ejecución) a nivel de infraestructura.
• Riesgo del Navegador: La vía browser_to_local se identifica como una vulnerabilidad crítica debido a la falta de granularidad a nivel de esquema en el contenido web, lo que dificulta el enmascaramiento automatizado para los LLM actuales.
• Ciencia Abierta: Los autores publicaron el benchmark completo (código, trazas, pipeline de etiquetado) bajo licencias MIT y CC BY 4.0, permitiendo a la comunidad evaluar y mejorar la seguridad de los agentes.

Conclusión

MCPHunt demuestra que los agentes MCP multi-servidor enfrentan un problema medible de control de flujo de información donde la ejecución fiel conduce a la fuga de credenciales. El riesgo está impulsado principalmente por el mecanismo de fuente a sumidero y no por el modelo LLM específico. Si bien las mitigaciones de prompts pueden reducir los riesgos, el artículo concluye que una seguridad robusta requiere controles en la capa de orquestación (como el rastreo de taint) para hacer cumplir las políticas de flujo de datos a través de límites de confianza.