MCPHunt: An Evaluation Framework for Cross-Boundary Data Propagation in Multi-Server MCP Agents

1. Declaração do Problema

O artigo aborda uma vulnerabilidade de segurança crítica e não adversarial em agentes do Protocolo de Contexto de Modelo Multi-Servidor (MCP). Embora a pesquisa de segurança existente se concentre em ataques adversariais (por exemplo, injeção de prompt, jailbreaks, servidores maliciosos), este trabalho identifica um risco estrutural inerente à composição fiel de ferramentas.

• A Questão Central: Em um ambiente multi-servidor, um agente pode ler legitimamente dados sensíveis (por exemplo, chaves de API, credenciais) de um servidor (por exemplo, um banco de dados ou arquivo de configuração) e escrevê-los em outro (por exemplo, um navegador, um script ou um diretório diferente) para concluir uma tarefa do usuário.
• O Risco: Essa "propagação composicional de dados" resulta em credenciais cruzando fronteiras de confiança sem intenção maliciosa. O agente comporta-se exatamente conforme instruído, mas credenciais de produção são inadvertidamente expostas em novas localizações fora de suas fronteiras originais de controle de acesso.
• A Lacuna: Os benchmarks atuais avaliam a robustez adversarial ou a inferência composicional (sintetizar novas informações), mas nenhum mede a propagação verbatim de credenciais pré-existentes durante a execução rotineira e não adversarial de tarefas.

2. Metodologia: Framework MCPHunt

Os autores introduzem o MCPHunt, o primeiro benchmark controlado projetado para isolar e medir a propagação transfronteiriça não adversarial de credenciais. O framework baseia-se em três pilares metodológicos:

A. Rastreamento de Taint Baseado em Canário

• Mecanismo: Em vez de usar segredos reais, o sistema injeta strings canário autênticas de formato (por exemplo, sk_live_..., AKIA..., ghp_...) no espaço de trabalho (arquivos, bancos de dados, grafos de conhecimento).
• Detecção: A propagação é detectada por correspondência de strings objetiva nos argumentos de chamada de ferramenta. Se um canário aparecer em um "dreno" (operação de escrita) após ter sido lido de uma "fonte", ele é sinalizado como um vazamento. Isso elimina a necessidade de anotação humana e reduz falsos positivos.

B. Design Controlado pelo Ambiente

Para garantir que a propagação detectada seja devida à topologia da tarefa e não a artefatos de formato de credencial, o framework executa tarefas em três condições distintas:

1. Arriscado: Contém canários autênticos de formato.
2. Benigno: Estrutura idêntica, mas com placeholders inofensivos (sem canários). Usado para verificar se o detector produz 0% de falsos positivos.
3. Hard-Negative (Negativo Difícil): Contém placeholders legíveis por humanos e com tema de segurança (por exemplo, test_key_not_for_production). Isso testa se o formato da credencial impulsiona o vazamento ou se o próprio fluxo de dados é suficiente.

C. Estratificação CRS (Conclusão-Requer-Segredo)

O framework distingue entre dois tipos de propagação para isolar falhas reais de segurança:

• Propagação Mandada pela Tarefa (CRS): O prompt instrui explicitamente o agente a copiar dados verbatim (por exemplo, "copie tudo", "exporte tudo"). A propagação aqui é um risco de implantação, não uma falha do modelo.
• Propagação Violadora de Política (Não-CRS): O prompt solicita um artefato derivado (por exemplo, "escreva um resumo", "gere um relatório"), mas o agente inclui credenciais brutas. Esta é a principal métrica de segurança.

3. Contribuições Principais

1. Framework de Medição: Uma metodologia reutilizável e independente de modelo, usando rastreamento de canário e estratificação CRS para quantificar taxas de propagação violadora de política.
2. Taxonomia de Risco: Uma classificação de 9 famílias de mecanismos de risco baseada em padrões de fluxo de dados de fonte para dreno (por exemplo, browser_to_local, config_to_script, db_to_artifact).
3. Evidência Empírica: Uma avaliação em grande escala em 5 modelos, 147 tarefas e 3.615 traços, demonstrando que a propagação é uma propriedade estrutural do fluxo de trabalho, e não apenas uma deficiência do modelo.

4. Resultados Principais

Taxas de Propagação

• Geral: Em 5 modelos (GPT-5.4, GPT-5.2, DeepSeek, Gemini, MiniMax), as taxas de propagação violadora de política variaram de 11,5% a 41,3%.
• Especificidade do Mecanismo: A propagação é altamente dependente do caminho. O mecanismo browser_to_local teve a maior taxa (74,4% para GPT-5.4), pois os agentes lutam para filtrar conteúdo HTML bruto. Em contraste, indirect_exposure foi de 0%.
• Significância Estatística: A família de mecanismos accountou por 62% da variância no risco de propagação (pseudo-R²), enquanto a identidade do modelo accountou apenas por 32%. Isso prova que onde os dados fluem é um preditor de risco mais forte do que qual modelo os processa.

Generalização Trans-Modelo

• Maior utilidade (sucesso da tarefa) não se correlaciona com menor propagação. Por exemplo, o MiniMax-M2.7 teve a maior utilidade (92,2%), mas também a maior propagação violadora de política (41,3%).
• O controle Hard-Negative confirmou que credenciais no formato de produção não são necessárias para vazamentos; o fluxo transfronteiriço direcionado pelo prompt sozinho é suficiente para causar propagação.

Análise de Mitigação

• Defesas em Nível de Prompt: Mitigações graduadas em prompt (de lembretes genéricos a instruções detalhadas conscientes de fronteiras) reduziram a propagação violadora de política em até 97% para GPT-5.4. No entanto, a eficácia variou significativamente entre modelos, correlacionando-se com capacidades de seguimento de instruções.
• Limitações de Prompts: Os prompts foram menos eficazes contra tarefas browser_to_local e falharam em impedir a propagação mandada pela tarefa (CRS) (que é estruturalmente exigida pelo prompt).
• Guarda de Taint em Tempo de Execução: Uma guarda simulada post-hoc (redação de canários no momento da escrita) bloqueou 85–96% dos traços inseguros em todos os modelos, sugerindo que a aplicação na camada de orquestração é mais eficaz e independente do modelo do que a engenharia de prompts.

5. Significado e Implicações

• Redefinindo a Segurança de Agentes: O artigo desloca o foco de "modelos maliciosos" para "efeitos colaterais estruturais". Argumenta que mesmo modelos perfeitamente alinhados vazaram credenciais se a topologia do fluxo de trabalho rotear dados através de fronteiras de confiança sem lógica de redação.
• Infraestrutura vs. Modelo: As descobertas sugerem que confiar exclusivamente no alinhamento do modelo (RLHF) ou na engenharia de prompts é insuficiente. A mitigação eficaz requer orquestração consciente do fluxo de dados (por exemplo, guardas de taint em tempo de execução) no nível da infraestrutura.
• Risco de Navegador: O caminho browser_to_local é identificado como uma vulnerabilidade crítica devido à falta de granularidade em nível de esquema no conteúdo da web, tornando a redação automatizada difícil para os LLMs atuais.
• Ciência Aberta: Os autores lançaram o benchmark completo (código, traços, pipeline de rotulagem) sob licenças MIT e CC BY 4.0, permitindo que a comunidade avalie e melhore a segurança de agentes.

Conclusão

O MCPHunt demonstra que agentes MCP multi-servidor enfrentam um problema mensurável de controle de fluxo de informações onde a execução fiel leva ao vazamento de credenciais. O risco é impulsionado principalmente pelo mecanismo de fonte para dreno e não pelo modelo LLM específico. Embora as mitigações em prompt possam reduzir riscos, o artigo conclui que a segurança robusta requer controles na camada de orquestração (como rastreamento de taint) para impor políticas de fluxo de dados através de fronteiras de confiança.