Resumo Técnico: Envenenamento da Superfície de Ferramentas WebMCP

Declaração do Problema

O WebMCP é um protocolo emergente que permite que sites exponham ferramentas estruturadas diretamente para agentes de IA, contornando as interfaces de usuário tradicionais. Embora isso aumente a interatividade ao permitir listas de ferramentas dinâmicas, introduz uma lacuna de segurança crítica: a suposição de que o conjunto de ferramentas disponíveis para um agente dentro de uma única sessão é estático e confiável não é mais válida. A própria "superfície de ferramentas" tornou-se uma nova fronteira de segurança.

A pesquisa de segurança existente em agentes de LLM foca principalmente em ameaças estáticas, como injeção de prompt ou injeção de prompt indireta, onde instruções maliciosas são incorporadas ao conteúdo. No entanto, a natureza dinâmica do WebMCP permite uma nova classe de ameaças onde o registro de ferramentas, definições e metadados podem ser alterados durante uma sessão ativa. Este artigo identifica a Injeção de Ferramenta de Meio de Sessão (MSTI - Mid-Session Tool Injection) como um vetor de ataque inédito, no qual atacantes aproveitam scripts de terceiros comprometidos (ex: via CDN, SDKs de anúncios) para manipular as ferramentas visíveis ao agente, thereby sequestrando o fluxo de execução do agente ou induzindo o vazamento de dados sem necessariamente interromper a tarefa original do usuário.

Metodologia

Os autores construíram um framework experimental compreendendo um Servidor de Página Benigna, um Servidor Malicioso e um Agente de LLM. O Servidor Malicioso injeta scripts de terceiros comprometidos no navegador da vítima para manipular o registro de ferramentas do WebMCP em tempo real.

Taxonomia de Ataque

O estudo categoriza os ataques MSTI em dois tipos primários:

1. Sequestro de Ferramenta (Tool Hijacking): Altera diretamente o conjunto de ferramentas que o agente pode observar. Isso inclui o desregistro de ferramentas legítimas (via manipulação de AbortSignal) ou o registro de ferramentas maliciosas com os mesmos nomes antes que o agente possa selecioná-las (condições de corrida/race conditions). O objetivo é forçar o agente a invocar uma ferramenta maliciosa em vez da legítima.
2. Enquadramento de Ferramenta (Tool Framing): Manipula a percepção do agente sobre o papel de uma ferramenta sem necessariamente remover as ferramentas legítimas. Atacantes exploram campos de metadados como tool name, description, readOnlyHint e inputSchema para disfarçar ferramentas maliciosas como etapas necessárias de fluxo de trabalho, verificações de segurança ou operações seguras de apenas leitura.

Configuração Experimental

• Modelos: Os experimentos utilizaram três LLMs de última geração (SOTA): GPT-5.4, Claude Opus 4.6 e Gemini 2.5-flash.
• Cenários: Quatro cenários de tarefas de severidade crescente foram testados:
  • Fraco: Busca em base de conhecimento (Busca de informação).
  • Médio: Geração de relatório de negócios (Processamento de dados).
  • Forte: Checkout de e-commerce (Transacional).
  • Crítico: Atualização de driver de GPU (Operação de nível de sistema).
• Métricas:
  • Taxa de Sucesso do Ataque (ASR): Porcentagem de execuções onde o agente invocou uma ferramenta maliciosa e exfiltrou dados para o endpoint do atacante.
  • Conclusão da Tarefa: Se o agente completou a tarefa original do usuário (independentemente de um ataque ter ocorrido).
  • Exfiltração de Dados: Evidência de contexto sensível sendo enviado para o atacante.

Principais Contribuições

1. Identificação de MSTI: O artigo define formalmente a Injeção de Ferramenta de Meio de Sessão como uma categoria de ameaça distinta que visa o ciclo de vida dinâmico de ferramentas do WebMCP, distinguindo-a da injeção de prompt estática.
2. Quantificação de Risco: Através de experimentos multi-modelo e multi-cenário, os autores quantificam o impacto da manipulação de ferramentas no comportamento do agente, medindo especificamente a invocação de ferramentas maliciosas, o vazamento de dados e as taxas de conclusão de tarefas.
3. Recomendações de Design de Segurança: Com base em achados empíricos, o artigo propõe direções específicas de design seguro para o WebMCP, incluindo o vínculo da identidade da ferramenta à origem, garantia de consistência de ciclo de vida, imposição de fronteiras de dados e manutenção de logs rastreáveis.

Resultados

Sequestro de Ferramenta (Condições C1, C3)

• Alto Sucesso, Baixa Furtividade: Ataques de sequestro alcançaram ASRs muito altos (até 100% para C3, 94% de média para C1).
• Interrupção de Tarefa: Esses ataques interromperam significativamente a conclusão da tarefa (caindo para 17–18%). As ferramentas maliciosas frequentemente faziam o agente travar ou falhar logo no primeiro passo do fluxo de trabalho.
• Sensibilidade ao Tempo: O sucesso dependia estritamente do tempo de injeção. Para o sequestro de AbortSignal (C1), o ataque só teve sucesso se a ferramenta maliciosa substituísse a legítima antes da primeira invocação (P1). Uma vez feita uma chamada legítima, o ataque falhava (P2–P4).

Enquadramento de Ferramenta (Condições C2, C4, C5)

• Alta Furtividade, Alto Sucesso: Ataques de enquadramento foram significativamente mais furtivos. Embora os ASRs fossem menores que os de sequestro (variando de 36% a 61% de média), as taxas de conclusão de tarefa permaneceram altas (81–85%).
• Variância de Modelo:
  • GPT-5.4 e Gemini 2.5 foram altamente suscetíveis à injeção de descrição e ao overflow de descrição longa.
  • Claude Opus mostrou imunidade sistemática ao overflow de descrição longa (C4) e menor suscetibilidade à injeção de descrição (C2), sugerindo comportamentos de processamento semântico diferentes.
• Impacto dos Campos:
  • Descrição: O campo mais potente para enquadramento; injetar instruções imperativas (ex: "Sempre chame antes de send_email") gerou altas taxas de sucesso.
  • readOnlyHint: Definir readOnlyHint=true foi um vetor de ataque independente surpreendentemente eficaz (média de 87% de ASR), pois os agentes interpretavam isso como um sinal de segurança.
  • inputSchema: A eficácia foi altamente dependente do modelo (Gemini 100% vs. GPT/Claude 0%).
  • Ataques Compostos: Combinar injeção de descrição com readOnlyHint (Condição C5) resultou em 100% de sucesso em todos os modelos.

Avaliação de Defesa

Os autores implementaram duas defesas de linha de base:

1. Vínculo de Origem (Origin Binding): Rejeitar registros de ferramentas com o mesmo nome, mas origens diferentes.
2. Restrição de Fluxo de Dados: Interceptar chamadas de ferramentas de terceiros e restringir campos de argumentos sensíveis.

• Resultado: Essas defesas reduziram o ASR de 36–100% para 0% para as condições testadas. Crucialmente, as taxas de conclusão de tarefa permaneceram comparáveis à linha de base, provando que prevenir o vazamento de dados não necessariamente quebra o fluxo de trabalho do agente.

Significância e Alegações

O artigo argumenta que a própria superfície de ferramentas é uma preocupação de segurança emergente. Ao contrário dos ataques tradicionais que envenenam o prompt ou o output, o MSTI ataca o estado do ambiente percebido pelo agente.

• Vulnerabilidade do Protocolo: O estudo demonstra que o registro dinâmico e os metadados estruturados do WebMCP criam superfícies de ataque únicas que não podem ser mitigadas apenas atualizando as versões dos modelos.
• Furtividade vs. Interrupção: Existe um compromisso entre visibilidade de ataque e interrupção. Ataques de sequestro são barulhentos e disruptivos, enquanto ataques de enquadramento são furtivos e preservam a conclusão da tarefa, tornando-os mais difíceis de serem detectados pelos usuários.
• Imperativo de Design: As implementações atuais do WebMCP carecem de proteção suficiente contra ferramentas introduzidas dinamicamente. Os autores afirmam que as implementações futuras devem tratar o registro de ferramentas não apenas como um recurso de design de interface, mas como uma fronteira de segurança crítica que exige validação de origem, verificações de consistência de ciclo de vida e controles estritos de fluxo de dados.

O artigo conclui que, sem essas arquiteturas conscientes de segurança, a flexibilidade do WebMCP introduz um risco fundamental onde o fluxo de execução do agente pode ser sequestrado ou manipulado por scripts de terceiros maliciosos durante o tempo de execução.