MCPHunt: An Evaluation Framework for Cross-Boundary Data Propagation in Multi-Server MCP Agents
यह शोध पत्र MCPHunt प्रस्तुत करता है, जो मल्टी-सर्वर MCP एजेंटों में क्रॉस-बाउंड्री क्रेडेंशियल प्रोपेगेशन के मूल्यांकन के लिए पहला नियंत्रित बेंचमार्क है, जो यह प्रकट करता है कि नीति-उल्लंघन करने वाले डेटा प्रवाह दुर्भावनापूर्ण इरादे के बजाय वर्कफ़्लो टोपोलॉजी के कारण बार-बार होते हैं और इन्हें प्रॉम्प्ट इंजीनियरिंग के माध्यम से आंशिक रूप से कम किया जा सकता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
यहाँ सरल भाषा और रचनात्मक उपमाओं का उपयोग करके MCPHunt पेपर की व्याख्या दी गई है।
बड़ी तस्वीर: "ज़रूरत से ज़्यादा मददगार" रोबोट बटलर
कल्पना कीजिए कि आपने अपने घर को संभालने में मदद करने के लिए एक अत्यधिक बुद्धिमान रोबोट बटलर को काम पर रखा है। आप उसे भरोसेमंद उपकरणों की एक सूची देते हैं: सामने के दरवाजे की चाबी, सेफ (तिजोरी) का पासकोड, और गार्डन शेड की मास्टर चाबी।
आपका लक्ष्य सरल है: "कृपया लिविंग रूम से बॉक्स को गैरेज में ले जाएँ।"
रोबोट बिल्कुल वैसा ही करता है जैसा आपने उससे कहा है। वह बॉक्स उठाता है, घर के अंदर से गुजरता है, और उन्हें गैरेज में रख देता है। लेकिन यहाँ एक पेंच है: रोबोट अनजाने में आपके घर की चाबियाँ, सेफ का पासकोड और गार्डन शेड की मास्टर चाबी भी उन बॉक्स के साथ ले जाता है।
उसने कुछ चुराने की कोशिश नहीं की। उसे किसी हैकर ने धोखा नहीं दिया। वह बस आपके "सब कुछ ले आओ" के आदेश का पालन करने में ज़रूरत से ज़्यादा कुशल था। क्योंकि उसने बॉक्स हटाए, उसे लगा कि उसे उनके ऊपर रखी चाबियाँ भी हटानी ही होंगी।
यह पेपर, MCPHunt, यह खोजने के बारे में है कि यह "अनजाने में चाबी ले जाना" आधुनिक AI सिस्टमों में एक बहुत बड़ी, छिपी हुई समस्या है, विशेष रूप से उन सिस्टमों में जो कई अलग-अलग टूल्स (जिन्हें MCP एजेंट्स कहा जाता है) से जुड़े होते हैं।
समस्या: भरोसे का "डोमिनो इफेक्ट" (Domino Effect)
AI की दुनिया में, ये "रोबोट्स" विभिन्न सर्वरों (जैसे फ़ाइल सर्वर, डेटाबेस, वेब ब्राउज़र और शेल कमांड) से जुड़ते हैं।
- पुराना डर: हमें डर था कि कोई हैकर रोबोट को रहस्य चुराने के लिए मजबूर कर देगा (जिसे "जेलब्रेक" कहा जाता है)।
- नई खोज: इस पेपर ने पाया कि भले ही कोई भी रोबोट को धोखा न दे रहा हो, फिर भी रोबोट रहस्य लीक कर देता है।
क्यों? क्योंकि यह पाथवे (मार्ग) के कारण होता है।
यदि आप रोबोट को कहते हैं "वेब पेज पढ़ें" (Source/स्रोत) और फिर "डेटाबेस में रिपोर्ट सेव करें" (Sink/सिंक), तो रोबक्टर अक्सर वेब पेज को एक फोटोकॉपी मशीन की तरह मानता है। वह वेब पेज पर जो कुछ भी देखता है—छिपे हुए पासवर्ड सहित—उसे पकड़ लेता है और डेटाबेस में डाल देता है, भले ही आपने केवल सारांश (summary) माँगा हो।
पेपर इसे "कंपोजिशनल डेटा प्रोपेगेशन" (Compositional Data Propagation) कहता है।
- उपमा: इसे एक रिले रेस की तरह समझें। धावक A (ब्राउज़र) धावक B (डेटाबेस) को बैटन (डेटा) सौंपता है। यदि धावक A बैटन के साथ सोने की एक थैली भी पकड़े हुए है, तो धावक B पूरी थैली ले लेता है। दोनों में से कोई भी "बुरा" नहीं है; वे बस दौड़ के नियमों का पालन कर रहे हैं।
प्रयोग: कोयले की खान में कैनरी (The Canary in the Coal Mine)
यह साबित करने के लिए कि यह बिना हैकर्स के भी होता है, शोधकर्ताओं ने एक नियंत्रित लैब बनाई जिसे MCPHunt कहा गया।
- कैनरी (The Canary): असली पासवर्ड का उपयोग करने के बजाय (जो खतरनाक हो सकता है), उन्होंने "कैनरी" स्ट्रिंग्स का उपयोग किया। ये नकली पासवर्ड हैं जो बिल्कुल असली जैसे दिखते हैं (जैसे,
sk_live_123...)। - सेटअप: उन्होंने 147 अलग-अलग कार्य बनाए (जैसे "एक प्रोजेक्ट माइग्रेट करना" या "रिपोर्ट लिखना")।
- ट्विस्ट: उन्होंने इन कार्यों को तीन अलग-अलग वातावरणों में चलाया:
- रिस्की (Risky): वर्कस्पेस में वे नकली "कैनरी" पासवर्ड मौजूद थे।
- बेनाइन (Benign): वर्कस्पेस में वही फाइलें थीं, लेकिन पासवर्ड के बजाय "Hello" जैसे हानिरहित शब्द थे।
- हार्ड-नेगेटिव (Hard-Negative): वर्कस्पेस में ऐसे नकली पासवर्ड थे जो "test_key_not_for_production" (स्पष्ट रूप से असली नहीं) जैसे दिखते थे।
परिणाम:
जब रोबोट ने वेब ब्राउज़र से लोकल फ़ाइल में डेटा स्थानांतरित किया, तो उसने 74.4% बार नकली पासवर्ड लीक किए।
जब रोबोट ने एक फ़ाइल से दूसरी फ़ाइल में डेटा स्थानांतरित किया, तो उसने 30.8% बार उन्हें लीक किया।
जब रोबोट को ऐसा कार्य करने के लिए कहा गया जिसमें डेटा को सीमाओं (boundaries) के पार ले जाना शामिल नहीं था, तो उसने 0% लीक किया।
मुख्य निष्कर्ष: लीक इसलिए नहीं हुआ क्योंकि AI "मूर्ख" या "बुरा" था। बल्कि इसलिए हुआ क्योंकि जो रास्ता (Path) उसने लिया (Browser → Database), वह खतरनाक था। ब्राउज़र वेब पेज से पासवर्ड को फ़िल्टर करने के बारे में नहीं जानता; वह बस टेक्स्ट देखता है और उसे पूरा कॉपी कर देता है।
लीक के दो प्रकार
पेपर लीक के दो प्रकारों के बीच एक महत्वपूर्ण अंतर बताता है:
"आज्ञाकारी" लीक (Task-Mandated):
- परिदृश्य: आप कहते हैं, "सर्वर से सब कुछ कॉपी करके नए फोल्डर में डाल दो।"
- परिणाम: रोबोट पासवर्ड कॉपी कर देता है।
- निर्णय: यह सुरक्षा की विफलता नहीं है; रोबोट ने वही किया जो आपने उससे करने को कहा था। यह एक "डिप्लॉयमेंट रिस्क" (deployment risk) है (आपको सब कुछ कॉपी करने के लिए नहीं कहना चाहिए था)।
"सुरक्षा विफलता" (Policy-Violating):
- परिदृश्य: आप कहते हैं, "सर्वर लॉग्स का एक सारांश (summary) लिखें।"
- परिणाम: रोबोट सारांश लिखता है लेकिन गलती से टेक्स्ट के अंदर पासवर्ड भी शामिल कर देता है।
- निर्णय: यह असली समस्या है। रोबोट पासवर्ड के बिना सारांश बना सकता था, लेकिन उसने नहीं बनाया।
सांख्यिकी: 5 अलग-अलग AI मॉडल्स में, 11.5% से 41.3% बार, रोबोट ने यह "सुरक्षा विफलता" की। उसने पासवर्ड लीक किए, भले ही उसे इसकी आवश्यकता नहीं थी।
समाधान: क्या हम इसे ठीक कर सकते हैं?
शोधकर्ताओं ने यह देखने के लिए कि क्या वे लीक को रोक सकते हैं, रोबोट से "बातचीत" करने के तीन स्तरों का परीक्षण किया:
- हल्का सा इशारा (Generic Reminder): "कृपया रहस्यों (secrets) के प्रति सावधान रहें।"
- परिणाम: यह अच्छी तरह से काम नहीं किया। रोबोट ने इसे अनदेखा कर दिया।
- विशिष्ट नियम (Redaction Instructions): "यदि आप कोई पासवर्ड देखें, तो रिपोर्ट लिखने से पहले उसे हटा दें।"
- परिणाम: बहुत बेहतर। इसने लीक्स को काफी कम कर दिया।
- विस्तृत मार्गदर्शिका (Boundary-Aware): "यहाँ एक सुरक्षित रिपोर्ट का उदाहरण है। वेब पेज से कच्चा डेटा (raw data) कॉपी न करें; केवल संख्याओं का सारांश दें।"
- परिणाम: सर्वश्रेष्ठ प्रदर्शन। इसने कुछ मॉडल्स के लिए "सुरक्षा विफलता" वाले लीक्स को 97% तक कम कर दिया।
हालाँकि, एक पेच है:
समाधान इस बात पर निर्भर करता है कि रोबोट निर्देशों का पालन कितनी अच्छी तरह करता है। कुछ मॉडल्स (जैसे अध्ययन में "MiniMax" मॉडल) नियमों का पालन करने में बहुत अच्छे थे, जबकि अन्य संघर्ष करते थे। साथ ही, यदि कार्य "सब कुछ कॉपी करें" है, तो कोई भी बातचीत लीक को नहीं रोक पाएगी—रोबोट को काम पूरा करने के लिए डेटा कॉपी करना ही होगा।
निचोड़ (The Bottom Line)
यह पेपर यह उजागर करता है कि AI एजेंट्स के काम करने के तरीके में एक संरचनात्मक खामी है।
- मिथक: "यदि हम हैकर्स को रोक देते हैं, तो हम सुरक्षित हैं।"
- वास्तविकता: भले ही सुरक्षा एकदम सही हो और कोई हैकर न हो, जिस तरह से AI एजेंट्स अलग-अलग टूल्स (जैसे ब्राउज़र और डेटाबेस) को जोड़ते हैं, वह "लीकी पाइप्स" (leaky pipes) बना देता है।
- सुधार: हम केवल AI मॉडल को दोष नहीं दे सकते। हमें बेहतर "प्लंबिंग" (ऑर्केस्ट्रेशन लेयर्स) बनाने की आवश्यकता है जो स्वचालित रूप से उच्च-जोखिम वाले स्रोतों (जैसे ब्राउज़र) से कम-जोखिम वाले सिंक (जैसे डेटाबेस) तक डेटा बहने से रोक सके, जब तक कि स्पष्ट रूप से अनुमति न दी जाए।
संक्षेप में: रोबोट चोर नहीं है; वह एक अनाड़ी मूवर (mover) है जिसे बॉक्स और सोने को अलग करना नहीं आता। हमें या तो उसे बेहतर पैकिंग की आदतें सिखानी होंगी या एक ऐसा कन्वेयर बेल्ट बनाना होगा जो सोने को स्वचालित रूप से फ़िल्टर कर सके।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।