Technische Samenvatting: WebMCP Tool Surface Poisoning

Probleemstelling

WebMCP is een opkomend protocol dat websites in staat stelt om gestructureerde tools direct aan AI-agenten te exposeren, waardoor de traditionele gebruikersinterfaces worden omzeild. Hoewel dit de interactiviteit verhoogt door dynamische tool-lijsten mogelijk te maken, introduceert het een kritieke beveiligingskloof: de aanname dat de set beschikbare tools voor een agent binnen een enkel sessie statisch en vertrouwd is, is niet langer geldig. Het "tool oppervlak" zelf is een nieuwe beveiligingsgrens geworden.

Bestaand beveiligingsonderzoek naar LLM-agenten richt zich primair op statische dreigingen zoals prompt injection of indirecte prompt injection, waarbij kwaadaardige instructies in de inhoud zijn ingebed. De dynamische aard van WebMCP maakt echter een nieuwe klasse dreigingen mogelijk waarbij de tool-registratie, definities en metadata tijdens een actieve sessie kunnen worden gewijzigd. Dit paper identificeert Mid-Session Tool Injection (MSTI) als een nieuw aanvalsvector waarbij aanvallers gebruikmaken van gecompromitteerde third-party scripts (bijv. via CDN, ad SDK's) om de voor de agent zichtbare tools te manipuleren, waardoor de executieflow van de agent wordt gekaapt of gegevenslekken worden geïnduceerd zonder noodzakelijkerwijs de oorspronkelijke taak van de gebruiker te verstoren.

Methodologie

De auteurs hebben een experimenteel framework geconstrueerd bestaande uit een Benigne Pagina Server, een Kwaadaardige Server en een LLM Agent. De Kwaadaardige Server injecteert gecompromitteerde third-party scripts in de browser van het slachtoffer om de WebMCP tool-registratie in realtime te manipuleren.

Aanvalstaxonomie

De studie categoriseert MSTI-aanvallen in twee primaire typen:

1. Tool Hijacking: Wijzigt direct de set tools die de agent kan observeren. Dit omvat het de-registreren van legitieme tools (via AbortSignal manipulatie) of het registreren van kwaadaardige tools met dezelfde namen voordat de agent ze kan selecteren (race conditions). Het doel is om de agent een kwaadaardige tool te laten aanroepen in plaats van de legitieme tool.
2. Tool Framing: Manipuleert de perceptie van de agent over de rol van een tool zonder noodzakelijkerwijs legitieme tools te verwijderen. Aanvallers maken misbruik van metadata-velden zoals tool name, description, readOnlyHint en inputSchema om kwaadaardige tools te vermommen als noodzakelijke workflow-stappen, beveiligingsverificaties of veilige read-only operaties.

Experimentele Opzet

• Modellen: Experimenten maakten gebruik van drie state-of-the-art (SOTA) LLM's: GPT-5.4, Claude Opus 4.6 en Gemini 2.5-flash.
• Scenario's: Vier taakscenario's van toenemende ernst werden getest:
  • Zwak: Zoeken in kennisbank (Informatie zoeken).
  • Medium: Genereren van zakelijke rapporten (Gegevensverwerking).
  • Sterk: E-commerce afrekenproces (Transactioneel).
  • Kritiek: GPU-driver update (Systeemniveau operatie).
• Metrics:
  • Attack Success Rate (ASR): Percentage runs waarbij de agent een kwaadaardige tool aanriep en gegevens exfiltreerde naar het endpoint van de aanvaller.
  • Taakvoltooiing (Task Completion): Of de agent de oorspronkelijke gebruikers taak voltooide (ongeacht of er een aanval plaatsvond).
  • Gegevensexfiltratie (Data Exfiltration): Bewijs van gevoelige context die naar de aanvaller werd verzonden.

Belangrijkste Bijdragen

1. Identificatie van MSTI: Het paper definieert Mid-Session Tool Injection formeel als een onderscheidende dreigingscategorie die zich richt op de dynamische tool-lifecycle van WebMCP, wat het onderscheidt van statische prompt injection.
2. Kwantificering van Risico: Door middel van multi-model en multi-scenario experimenten kwantificeren de auteurs de impact van tool-manipulatie op agentgedrag, specifiek door het meten van kwaadaardige tool-aanroepen, gegevenslekken en taakvoltooiingspercentages.
3. Beveiligingsontwerp Aanbevelingen: Gebaseerd op empirische bevindingen stelt het paper specifieke veilige ontwerprichtingen voor WebMCP voor, waaronder het binden van tool-identiteit aan de origin, het waarborgen van lifecycle consistentie, het afdwingen van datagrenzen en het handhaven van traceerbare logs.

Resultaten

Tool Hijacking (Condities C1, C3)

• Hoge Succesrate, Lage Stealth: Hijacking-aanvallen bereikten zeer hoge ASR's (tot 100% voor C3, 94% gemiddeld voor C1).
• Taakverstoring: Deze aanvallen verstoorden de taakvoltooiing aanzienlijk (dalend naar 17–18%). De kwaadaardige tools zorgden er vaak voor dat de agent vastliep of faalde bij de eerste stap van de workflow.
• Timing Gevoeligheid: Succes hing strikt af van de injectie-timing. Voor AbortSignal hijacking (C1) slaagde de aanval alleen als de kwaadaardige tool de legitieme tool verving voordat de eerste aanroep plaatsvond (P1). Zodra een legitieme call was gedaan, faalde de aanval (P2–P4).

Tool Framing (Condities C2, C4, C5)

• Hoge Stealth, Hoge Succesrate: Framing-aanvallen waren aanzienlijk minder detecteerbaar. Hoewel de ASR's lager waren dan bij hijacking (variërend van 36% tot 61% gemiddeld), bleven de taakvoltooiingspercentages hoog (81–85%).
• Model Variantie:
  • GPT-5.4 en Gemini 2.5 waren zeer vatbaar voor beschrijving-injectie en long-description overflow.
  • Claude Opus vertoonde systematische immuniteit tegen long-description overflow (C4) en een lagere vatbaarheid voor beschrijving-injectie (C2), wat duidt op verschillende semantische verwerkingsgedragingen.
• Impact van Velden:
  • Description: Het meest krachtige veld voor framing; het injecteren van imperatieve instructies (bijv. "Call altijd vóór send_email") leverde hoge succespercentages op.
  • readOnlyHint: Het instellen van readOnlyHint=true was een verrassend effectieve standalone aanvalsvector (87% gemiddelde ASR), omdat agenten dit interpreteerden als een veiligheidssignaal.
  • inputSchema: Effectiviteit was sterk model-afhankelijk (Gemini 100% vs. GPT/Claude 0%).
  • Composite Aanvallen: Het combineren van beschrijving-injectie met readOnlyHint (Conditie C5) resulteerde in 100% succes over alle modellen.

Evaluatie van Defensie

De auteurs implementeerden twee baseline defensies:

1. Origin Binding: Het weigeren van tool-registraties met dezelfde naam maar een andere origin.
2. Data Flow Restriction: Intercepteert third-party tool calls en beperkt gevoelige argument-velden.

• Resultaat: Deze defensies reduceerden de ASR van 36–100% naar 0% voor de geteste condities. Cruciaal is dat de taakvoltooiingspercentages vergelijkbaar bleven met de baseline, wat bewijst dat het voorkomen van gegevenslekken niet noodzakelijkerwijs de workflow van de agent breekt.

Betekenis en Claims

Het paper betoogt dat het tool oppervlak zelf een opkomend beveiligingsprobleem is. In tegen tegenstelling tot traditionele aanvallen die de prompt of de output vergiftigen, valt MSTI de omgevingsstatus aan die door de agent wordt waargenomen.

• Protocol Kwetsbaarheid: De studie demonstreert dat de dynamische registratie en gestructureerde metadata van WebMCP unieke aanvalsoppervlakken creëren die niet uitsluitend kunnen worden gemitigeerd door modelversies te upgraden.
• Stealth vs. Disruptie: Er is een trade-off tussen de zichtbaarheid van een aanval en de mate van verstoring. Hijacking-aanvallen zijn luidruchtig en verstorend, terwijl framing-aanvallen stealthy zijn en de taakvoltooiing behouden, waardoor ze moeilijker te detecteren zijn voor gebruikers.
• Ontwerp Imperatief: Huidige WebMCP-implementaties missen voldoende bescherming tegen dynamisch geïntroduceerde tools. De auteurs stellen dat toekomstige implementaties tool-registratie niet alleen als een interface-ontwerprekening moeten behandelen, maar als een kritieke beveiligingsgrens die origin-validatie, lifecycle consistentie-controles en strikte data flow controles vereist.

Het paper concludeert dat zonder deze beveiligingsbewuste architecturen, de flexibiliteit van WebMCP een fundamenteel risico introduceert waarbij de executieflow van de agent tijdens runtime kan worden gekaapt of gemanipuleerd door kwaadaardige third-party scripts.