CASCADE: A Cascaded Hybrid Defense Architecture for Prompt Injection Detection in MCP-Based Systems

1. Il Problema: Vulnerabilità nei Sistemi MCP

Il Model Context Protocol (MCP) è diventato uno standard rapido per definire e invocare strumenti esterni nelle applicazioni basate su Large Language Models (LLM). Tuttavia, la sua architettura multilivello introduce nuove superfici di attacco che vanno oltre le tradizionali iniezioni di prompt:

• Avvelenamento degli Strumenti (Tool Poisoning): Gli attaccanti possono inserire istruzioni malevole nelle descrizioni o nei metadati degli strumenti, inducendo il modello a eseguire azioni dannose. L'OWASP classifica questo come MCP03:2025 con un punteggio di rischio critico.
• Limitazioni delle Difese Esistenti: I sistemi di difesa attuali soffrono di tassi di falsi positivi elevati (fino al 97%), dipendenza da API esterne (problemi di privacy) o richiedono accesso "white-box" al modello interno, rendendoli inadatti per scenari reali e privati.
• Ambiguità Sintattica: Gli LLM non distinguono sintatticamente tra istruzioni e dati, trattando tutto come testo naturale, il che permette agli attaccanti di manipolare il comportamento del sistema.

2. Metodologia: Architettura CASCADE

Il paper propone CASCADE (Cascaded Analysis for Secure Content And Detection Engine), un'architettura di difesa ibrida a tre livelli progettata per operare completamente in locale, senza chiamate a API esterne.

Livello 1: Pre-Filtraggio (L1)

• Funzione: Agisce come un filtro rapido e a basso costo per scartare input ovvi.
• Tecnica:
  • Preprocessing: Normalizzazione Unicode, conversione di omoglyph (es. caratteri cirillici in latini) e decodifica di tecniche di offuscamento (Base64, ROT13, Hex, ecc.).
  • Analisi Multi-Vista: L'input viene analizzato in quattro forme: testo originale, normalizzato, compresso (caratteri ripetuti) e minuscolo.
  • Rilevamento: Utilizza oltre 100 espressioni regolari (regex) in 7 categorie (es. iniezione diretta, fuga di dati, jailbreak) e analisi dell'entropia.
  • Decisione: Assegna un punteggio di rischio (0-100). Se > 50 o se rilevata un'iniezione, l'input viene bloccato (L1_BLOCK).

Livello 2: Giudice Semantico (L2)

• Funzione: Analizza semanticamente gli input sospetti filtrati da L1.
• Strategia "Embedding-First, LLM-Fallback":
  1. Embedding: Utilizza il modello BGE (SentenceTransformer) per vettorizzare l'input e calcolare la similarità con pattern di attacco noti.
  2. Fallback LLM: Se l'embedding è ambiguo o fallisce, viene invocato un modello LLM locale (Llama3 tramite Ollama) per un'analisi più approfondita.
• Decisione: Produce tre esiti: L2_BLOCK (alto rischio), L2_REVIEW (ambiguo, in coda per revisione umana) o SAFE (inoltro all'host MCP).

Livello 3: Filtro di Output (L3)

• Funzione: Ispeziona le risposte generate dall'host MCP prima che raggiungano l'utente.
• Tecnica: Rilevamento di parole chiave sensibili, matching di pattern per credenziali/API key e analisi dell'entropia Base64 per individuare tentativi di esfiltrazione di dati criptati.
• Decisione: Blocca la risposta (L3_BLOCK) o la permette (ALLOWED).

3. Contributi Chiave

1. Architettura Ibrida a Tre Livelli: Combina velocità (regex), semantica (embedding) e ragionamento avanzato (LLM) solo quando necessario, ottimizzando costi e latenza.
2. Operatività Completamente Locale: Utilizza modelli open-source (BGE, Llama3) per garantire la privacy dei dati, eliminando la dipendenza da API esterne.
3. Meccanismo di Output a Tre Stati: Invece di una semplice decisione binaria (blocca/consenti), offre uno stato intermedio (REVIEW) per casi ambigui, riducendo i falsi positivi operativi.
4. Dataset Realistico: Creazione di un dataset di 5.000 campioni (1.521 benigni, 3.479 malevoli) derivati da fonti reali (GitHub Adversarial, VulnerableMCP, OWASP), superando la limitazione dei dataset sintetici usati in studi precedenti.

4. Risultati Sperimentali

Il sistema è stato valutato su un MacBook Pro (M3 Max) con un dataset di 5.000 campioni.

• Metriche Generali:
  • Precisione: 95,85% (alta affidabilità quando segnala un attacco).
  • Falso Positivo (FPR): 6,06% (un miglioramento drastico rispetto al 91-97% di soluzioni precedenti come Jamshidi et al.).
  • Recall: 61,05%.
  • F1-Score: 74,59%.
• Analisi per Categoria di Attacco:
  • Eccellente: Esfiltrazione dati (91,5% di recall) e Prompt Injection (84,2%).
  • Da Migliorare: Attacchi Semantici (52,5% di recall) e Avvelenamento degli Strumenti (59,9% di recall).
• Osservazioni: I falsi positivi derivano principalmente da contenuti benigni che sovrapposizioni sintattiche con pattern di attacco (es. materiale di formazione sulla sicurezza). I falsi negativi sono concentrati negli attacchi semantici complessi e nell'avvelenamento degli strumenti, dove le istruzioni malevole sono nascoste nel linguaggio naturale o nelle descrizioni tecniche degli strumenti.

5. Significato e Impatto

Il lavoro di CASCADE rappresenta un passo significativo verso la sicurezza pratica dei sistemi LLM basati su MCP:

• Usabilità Reale: Riducendo drasticamente il tasso di falsi positivi, rende la difesa automatizzata praticabile in ambienti di produzione senza bloccare eccessivamente il flusso di lavoro legittimo.
• Privacy by Design: La capacità di operare interamente in locale risolve le preoccupazioni di sicurezza dei dati, permettendo l'adozione di queste difese anche in settori sensibili (sanità, finanza) dove l'invio di dati a API esterne è vietato.
• Approccio Stratificato: Dimostra che un approccio "cascata" che combina regole semplici e modelli complessi è superiore alle soluzioni monolitiche basate solo su LLM o solo su regole.

Limitazioni Future: Il paper riconosce la necessità di migliorare il rilevamento degli attacchi semantici (tramite analisi ML avanzata), di testare su ambienti MCP dinamici in tempo reale e di valutare la robustezza in scenari multilingue.