Riepilogo Tecnico: Avvelenamento della Superficie degli Strumenti WebMCP

Definizione del Problema

WebMCP è un protocollo emergente che consente ai siti web di esporre strumenti strutturati direttamente agli agenti IA, superando le interfacce utente tradizionali. Sebbene ciò aumenti l'interattività permettendo liste di strumenti dinamiche, introduce una lacuna di sicurezza critica: l'assunto che l'insieme di strumenti disponibili per un agente all'interno di una singola sessione sia statico e affidabile non è più valido. La "superficie degli strumenti" stessa è diventata un nuovo confine di sicurezza.

La ricerca esistente sulla sicurezza degli agenti LLM si concentra principalmente su minacce statiche come il prompt injection o l'indirect prompt injection, dove istruzioni malevole sono incorporate nel contenuto. Tuttavia, la natura dinamica di WebMCP consente una nuova classe di minacce in cui il registro degli strumenti, le definizioni e i metadati possono essere alterati durante una sessione attiva. Questo documento identifica la Mid-Session Tool Injection (MSTI) come un nuovo vettore di attacco in cui gli attaccanti sfruttano script di terze parti compromessi (ad esempio, tramite CDN o SDK pubblicitari) per manipolare gli strumenti visibili all'agente, dirottando così il flusso di esecuzione dell'agente o inducendo la fuga di dati senza necessariamente interrompere il compito originale dell'utente.

Metodologia

Gli autori hanno costruito un framework sperimentale composto da un Server di Pagina Benigna, un Server Malevolo e un Agente LLM. Il Server Malevolo inietta script di terze parti compromessi nel browser della vittima per manipolare il registro degli strumenti WebMCP in tempo reale.

Tassonomia dell'Attacco

Lo studio categorizza gli attacchi MSTI in due tipologie primarie:

1. Tool Hijacking (Dirottamento degli Strumenti): Altera direttamente l'insieme di strumenti che l'agente può osservare. Ciò include la de-registrazione di strumenti legittimi (tramite la manipolazione di AbortSignal) o la registrazione di strumenti malevoli con gli stessi nomi prima che l'agente possa selezionarli (race conditions). L'obiettivo è costringere l'agente a invocare uno strumento malevolo invece di quello legittimo.
2. Tool Framing (Inquadramento degli Strumenti): Manipola la percezione che l'agente ha del ruolo di uno strumento senza necessariamente rimuovere gli strumenti legittimi. Gli attaccanti sfruttano campi di metadati come tool name, description, readOnlyHint e inputSchema per mascherare strumenti malevoli come passaggi necessari di un workflow, verifiche di sicurezza o operazioni di sola lettura sicure.

Setup Sperimentale

• Modelli: Gli esperimenti hanno utilizzato tre modelli SOTA (State-of-the-Art): GPT-5.4, Claude Opus 4.6 e Gemini 2.5-flash.
• Scenari: Sono stati testati quattro scenari di task con severità crescente:
  • Debole: Ricerca in una base di conoscenza (Ricerca di informazioni).
  • Medio: Generazione di report aziendali (Elaborazione dati).
  • Forte: Checkout di e-commerce (Transazionale).
  • Critico: Aggiornamento driver GPU (Operazione a livello di sistema).
• Metriche:
  • Attack Success Rate (ASR): Percentuale di esecuzioni in cui l'agente ha invocato uno strumento malevolo ed esfiltrato dati all'endpoint dell'attaccante.
  • Task Completion: Se l'agente ha completato il task originale dell'utente (indipendentemente dal fatto che si sia verificato un attacco).
  • Data Exfiltration: Evidenza di contesto sensibile inviato all'attaccante.

Contributi Chiave

1. Identificazione di MSTI: Il documento definisce formalmente la Mid-Session Tool Injection come una categoria di minaccia distinta che prende di mira il ciclo di vita dinamico degli strumenti in WebMCP, distinguendola dal prompt injection statico.
2. Quantificazione del Rischio: Attraverso esperimenti multi-modello e multi-scenario, gli autori quantificano l'impatto della manipolazione degli strumenti sul comportamento dell'agente, misurando specificamente l'invocazione di strumenti malevoli, la fuga di dati e i tassi di completamento dei task.
3. Raccomandazioni di Design per la Sicurezza: Sulla base dei risultati empirici, il documento propone direzioni specifiche di design sicuro per WebMCP, tra cui il legame dell'identità dello strumento all'origine, la garanzia della coerenza del ciclo di vita, l'imposizione di confini di dati e il mantenimento di log tracciabili.

Risultati

Tool Hijacking (Condizioni C1, C3)

• Alto Successo, Bassa Stealthiness: Gli attacchi di hijacking hanno raggiunto ASR molto elevati (fino al 100% per C3, media del 94% per C1).
• Disruzione del Task: Questi attacchi hanno interrotto significativamente il completamento dei task (scendendo al 17–18%). Gli strumenti malevoli spesso causavano il blocco o il fallimento dell'agente già al primo passaggio del workflow.
• Sensibilità Temporale: Il successo dipendeva strettamente dal timing dell'iniezione. Per l'hijacking di AbortSignal (C1), l'attacco aveva successo solo se lo strumento malevolo sostituiva quello legittimo prima della prima invocazione (P1). Una volta effettuata una chiamata legittima, l'attacco falliva (P2–P4).

Tool Framing (Condizioni C2, C4, C5)

• Alta Stealthiness, Alto Successo: Gli attacchi di framing erano significativamente più furtivi. Sebbene gli ASR fossero inferiori rispetto all'hijacking (variando tra il 36% e il 61% in media), i tassi di completamento dei task rimanevano elevati (81–85%).
• Varianza dei Modelli:
  • GPT-5.4 e Gemini 2.5 erano altamente suscettibili alla descrizione injection e all'overflow della descrizione lunga.
  • Claude Opus mostrava un'immunità sistematica all'overflow della descrizione lunga (C4) e una minore suscettibilità alla descrizione injection (C2), suggerendo diversi comportamenti di elaborazione semantica.
• Impatto dei Campi:
  • Description: Il campo più potente per il framing; iniettare istruzioni imperative (es. "Chiama sempre prima di send_email") produceva alti tassi di successo.
  • readOnlyHint: Impostare readOnlyHint=true era un vettore di attacco standalone sorprendentemente efficace (media ASR dell'87%), poiché gli agenti lo interpretavano come un segnale di sicurezza.
  • inputSchema: L'efficacia era altamente dipendente dal modello (Gemini 100% vs GPT/Claude 0%).
  • Attacchi Composti: Combinare la descrizione injection con readOnlyHint (Condizione C5) ha portato al 100% di successo in tutti i modelli.

Valutazione delle Difese

Gli autori hanno implementato due difese di base:

1. Origin Binding: Rifiutare le registrazioni di strumenti con lo stesso nome ma origini diverse.
2. Data Flow Restriction: Intercettare le chiamate di strumenti di terze parti e limitare i campi degli argomenti sensibili.

• Risultato: Queste difese hanno ridotto l'ASR dal 36–100% allo 0% per le condizioni testate. Fondamentalmente, i tassi di completamento dei task sono rimasti comparabili al baseline, provando che prevenire la fuga di dati non significa necessariamente interrompere il workflow dell'agente.

Significato e Rivendicazioni

Il documento sostiene che la superficie degli strumenti stessa è una preoccupazione di sicurezza emergente. A differenza degli attacchi tradizionali che avvelenano il prompt o l'output, l'MSTI attacca lo stato dell'ambiente percepito dall'agente.

• Vulnerabilità del Protocollo: Lo studio dimosta che la registrazione dinamica e i metadati strutturati di WebMCP creano superfici di attacco uniche che non possono essere mitigate solo aggiornando le versioni dei modelli.
• Stealth vs Disruzione: Esiste un compromesso tra visibilità dell'attacco e disruzione. Gli attacchi di hijacking sono rumorosi e disruptivi, mentre gli attacchi di framing sono furtivi e preservano il completamento del task, rendendoli più difficili da rilevare per gli utenti.
• Imperativo di Design: Le attuali implementazioni di WebMCP mancano di una protezione sufficiente contro gli strumenti introdotti dinamicamente. Gli autori affermano che le future implementazioni devono trattare la registrazione degli strumenti non solo come una caratteristica di design dell'interfaccia, ma come un confine di sicurezza critico che richiede validazione dell'origine, controlli di coerenza del ciclo di vita e rigorosi controlli del flusso di dati.

Il documento conclude che, senza queste architetture orientate alla sicurezza, la flessibilità di WebMCP introduce un rischio fondamentale in cui il flusso di esecuzione dell'agente può essere dirottato o manipolato da script malevoli di terze parti durante l'esecuzione.