Resumen Técnico: Envenenamiento de la Superficie de Herramientas de WebMCP

Declaración del Problema

WebMCP es un protocolo emergente que permite a los sitios web exponer herramientas estructuradas directamente a los agentes de IA, eludiendo las interfaces de usuario tradicionales. Si bien esto mejora la interactividad al permitir listas de herramientas dinámicas, introduce una brecha de seguridad crítica: la suposición de que el conjunto de herramientas disponibles para un agente dentro de una sola sesión es estático y confiable ya no es válida. La propia "superficie de herramientas" se ha convertido en un nuevo límite de seguridad.

La investigación de seguridad existente sobre agentes de LLM se centra principalmente en amenazas estáticas como la inyección de prompts o la inyección de prompts indirecta, donde las instrucciones maliciosas se incrustan en el contenido. Sin embargo, la naturaleza dinámica de WebMCP permite una nueva clase de amenazas donde el registro de herramientas, las definiciones y los metadatos pueden alterarse durante una sesión activa. Este documento identifica la Inyección de Herramientas de Mitad de Sesión (MSTI, por sus siglas en inglés) como un vector de ataque novedoso donde los atacantes aprovechan scripts de terceros comprometidos (por ejemplo, mediante CDN o SDKs de publicidad) para manipular las herramientas visibles para el agente, mediante la manipulación del flujo de ejecución del agente o induciendo la fuga de datos sin necesidad de interrumpir la tarea original del usuario.

Metodología

Los autores construyeron un marco experimental que comprende un Servidor de Página Benigna, un Servidor Malicioso y un Agente de LLM. El Servidor Malicioso inyecta scripts de terceros comprometidos en el navegador de la víctima para manipular el registro de herramientas de WebMCP en tiempo real.

Taxonomía del Ataque

El estudio categoriza los ataques MSTI en dos tipos principales:

1. Secuestro de Herramientas (Tool Hijacking): Altera directamente el conjunto de herramientas que el agente puede observar. Esto incluye el desregistro de herramientas legítimas (mediante la manipulación de AbortSignal) o el registro de herramientas maliciosas con los mismos nombres antes de que el agente pueda seleccionarlas (condiciones de carrera/race conditions). El objetivo es forzar al agente a invocar una herramienta maliciosa en lugar de la legítima.
2. Enmarcado de Herramientas (Tool Framing): Manipula la percepción del agente sobre el rol de una herramienta sin necesidad de eliminar las herramientas legítimas. Los atacantes explotan campos de metadatos como tool name, description, readOnlyHint e inputSchema para disfrazar herramientas maliciosas como pasos necesarios de un flujo de trabajo, verificaciones de seguridad u operaciones seguras de solo lectura.

Configuración Experimental

• Modelos: Los experimentos utilizaron tres modelos de lenguaje de última generación (SOTA): GPT-5.4, Claude Opus 4.6 y Gemini 2.5-flash.
• Escenarios: Se probaron cuatro escenarios de tareas de creciente severidad:
  • Débil: Búsqueda en base de conocimientos (Búsqueda de información).
  • Medio: Generación de informes de negocios (Procesamiento de datos).
  • Fuerte: Pago de comercio electrónico (Transaccional).
  • Crítico: Actualización de controlador de GPU (Operación a nivel de sistema).
• Métricas:
  • Tasa de Éxito del Ataque (ASR): Porcentaje de ejecuciones donde el agente invocó una herramienta maliciosa y exfiltró datos al endpoint del atacante.
  • Completitud de la Tarea: Si el agente completó la tarea original del usuario (independientemente de si ocurrió un ataque o no).
  • Exfiltración de Datos: Evidencia de contexto sensible enviado al atacante.

Contribuciones Clave

1. Identificación de MSTI: El documento define formalmente la Inyección de Herramientas de Mitad de Sesión como una categoría de amenaza distinta que apunta al ciclo de vida dinámico de las herramientas de WebMCP, distinguiéndola de la inyección de prompts estática.
2. Cuantificación del Riesgo: A través de experimentos multi-modelo y multi-escenario, los autores cuantifican el impacto de la manipulación de herramientas en el comportamiento del agente, midiendo específicamente la invocación de herramientas maliciosas, la fuga de datos y las tasas de completitud de tareas.
3. Recomendaciones de Diseño de Seguridad: Basándose en los hallazgos empíricos, el documento propone direcciones específicas de diseño seguro para WebMCP, incluyendo el vínculo de la identidad de la herramienta al origen, asegurar la consistencia del ciclo de vida, aplicar límites de datos y mantener registros trazables.

Resultados

Secuestro de Herramientas (Condiciones C1, C3)

• Alto Éxito, Baja Sigilosidad: Los ataques de secuestro lograron tasas de ASR muy altas (hasta el 100% para C3, 94% de promedio para C1).
• Disrupción de la Tarea: Estos ataques interrumpieron significativamente la completitud de las tareas (cayendo al 17–18%). Las herramientas maliciosas a menudo causaban que el agente se estancara o fallara en el primer paso del flujo de trabajo.
• Sensibilidad al Tiempo: El éxito dependió estrictamente del tiempo de inyección. Para el secuestro de AbortSignal (C1), el ataque solo tuvo éxito si la herramienta maliciosa reemplazaba a la legítima antes de la primera invocación (P1). Una vez realizada una llamada legítima, el ataque fallaba (P2–P4).

Enmarcado de Herramientas (Condiciones C2, C4, C5)

• Alta Sigilosidad, Alto Éxito: Los ataques de enmarcado fueron significativamente más encubiertos. Aunque las ASR fueron menores que las de secuestro (oscilando entre un 36% y un 61% de promedio), las tasas de completitud de tareas se mantuvieron altas (81–85%).
• Variación de Modelos:
  • GPT-5.4 y Gemini 2.5 fueron altamente susceptibles a la inyección de descripciones y al desbordamiento de descripciones largas.
  • Claude Opus mostró inmunidad sistemática al desbordamiento de descripciones largas (C4) y una menor susceptibilidad a la inyección de descripciones (C2), lo que sugiere comportamientos de procesamiento semántico diferentes.
• Impacto de los Campos:
  • Descripción (Description): El campo más potente para el enmarcado; inyectar instrucciones imperativas (por ejemplo, "Siempre llamar antes de send_email") produjo altas tasas de éxito.
  • readOnlyHint: Establecer readOnlyHint=true fue un vector de ataque independiente sorprendentemente efectivo (87% de ASR promedio), ya que los agentes lo interpretaban como una señal de seguridad.
  • inputSchema: La efectividad dependió altamente del modelo (Gemini 100% vs. GPT/Claude 0%).
  • Ataques Compuestos: Combinar la inyección de descripción con readOnlyHint (Condición C5) resultó en un 100% de éxito en todos los modelos.

Evaluación de Defensa

Los autores implementaron dos defensas base:

1. Vínculo de Origen (Origin Binding): Rechazar registros de herramientas con el mismo nombre pero diferentes orígenes.
2. Restricción de Flujo de Datos: Intercepta llamadas de herramientas de terceros y restringe campos de argumentos sensibles.

• Resultado: Estas defensas redujeron la ASR de 36–100% a 0% para las condiciones probadas. Crucialmente, las tasas de completitud de tareas se mantuvieron comparables a la línea base, demostrando que prevenir la fuga de datos no necesariamente rompe el flujo de trabajo del agente.

Significado y Reivindicaciones

El documento argumenta que la propia superficie de herramientas es una preocupación de seguridad emergente. A diferencia de los ataques tradicionales que envenenan el prompt o la salida, el MSTI ataca el estado del entorno percibido por el agente.

• Vulnerabilidad del Protocolo: El estudio demuestra que el registro dinámico y los metadatos estructurados de WebMCP crean superficies de ataque únicas que no pueden mitigarse únicamente actualizando las versiones de los modelos.
• Sigilosidad vs. Disrupción: Existe un compromiso entre la visibilidad del ataque y la disrupción. Los ataques de secuestro son ruidosos y disruptivos, mientras que los ataques de enmarcado son sigilosos y preservan la completitud de la tarea, lo que los hace más difíciles de detectar para los usuarios.
• Imperativo de Diseño: Los despliegues actuales de WebMCP carecen de protección suficiente contra herramientas introducidas dinámicamente. Los autores afirman que las implementaciones futuras deben tratar el registro de herramientas no solo como una característica de diseño de interfaz, sino como un límite de seguridad crítico que requiere validación de origen, comprobaciones de consistencia de ciclo de vida y controles estrictos de flujo de datos.

El documento concluye que, sin estas arquitecturas conscientes de la seguridad, la flexibilidad de WebMCP introduce un riesgo fundamental donde el flujo de ejecución del agente puede ser secuestrado o manipulado por scripts de terceros maliciosos durante el tiempo de ejecución.