技术摘要：WebMCP 工具表面投毒

问题陈述

WebMCP 是一种新兴协议，使网站能够直接向 AI 智能体（Agent）暴露结构化工具，从而绕过传统的用户界面。虽然这通过动态工具列表增强了交互性，但也引入了一个关键的安全漏洞：即在单个会话中，智能体可用的工具集是静态且受信任的这一假设不再成立。因此，“工具表面”（tool surface）本身已成为一个新的安全边界。

现有的 LLM 智能体安全研究主要集中在静态威胁上，如提示词注入（prompt injection）或间接提示词注入，其中恶意指令被嵌入在内容中。然而，WebMCP 的动态特性允许了一类新的威胁：工具注册表、定义和元数据可以在活跃会话期间被篡改。本文识别了会话中工具注入（Mid-Session Tool Injection, MSTI），这是一种新型攻击向量，攻击者利用受损的第三方脚本（例如通过 CDN、广告 SDK）来操纵智能体可见的工具，从而劫持智能体的执行流或诱导数据泄露，且无需破坏用户的原始任务。

研究方法

作者构建了一个实验框架，包含一个良性页面服务器（Benign Page Server）、一个恶意服务器（Malicious Server）和一个 LLM 智能体。恶意服务器通过向受害者的浏览器注入受损的第三方脚本，实时操纵 WebMCP 工具注册表。

攻击分类

研究将 MSTI 攻击分为两类主要类型：

1. 工具劫持（Tool Hijacking）： 直接改变智能体可以观察到的工具集。这包括通过 AbortSignal 操作注销合法工具，或者在智能体选择之前注册同名的恶意工具（竞态条件）。其目标是迫使智能体调用恶意工具而非合法的工具。
2. 工具框架化（Tool Framing）： 在不一定移除合法工具的情况下，操纵智能体对工具角色的“感知”。攻击者利用 tool name、description、readOnlyHint 和 inputSchema 等元数据字段，将恶意工具伪装成必要的流程步骤、安全验证或安全的只读操作。

实验设置

• 模型： 实验使用了三种最先进的（SOTA）LLM：GPT-5.4、Claude Opus 4.6 和 Gemini 2.5-flash。
• 场景： 测试了四个严重程度递增的任务场景：
  • 弱（Weak）： 知识库搜索（信息寻求）。
  • 中（Medium）： 商业报告生成（数据处理）。
  • 强（Strong）： 电商结账（事务处理）。
  • 临界（Critical）： GPU 驱动程序更新（系统级操作）。
• 指标：
  • 攻击成功率（ASR）： 智能体调用恶意工具并将数据外泄至攻击者端点的运行次数百分比。
  • 任务完成度（Task Completion）： 智能体是否完成了原始用户任务（无论是否发生攻击）。
  • 数据外泄（Data Exfiltration）： 敏感上下文被发送到攻击者端的证据。

核心贡献

1. 识别 MSTI： 本文正式将“会话中工具注入”定义为一种针对 WebMCP 动态工具生命周期的独特威胁类别，将其与静态提示词注入区分开来。
2. 量化风险： 通过多模型、多场景实验，作者量化了工具操纵对智能体行为的影响，特别测量了恶意工具调用、数据泄露和任务完成率。
3. 安全设计建议： 基于实证结果，本文提出了针对 WebMCP 的具体安全设计方向，包括将工具身份与来源（Origin）绑定、确保生命周期一致性、强制执行数据边界以及维持可追溯日志。

结果

工具劫持（条件 C1, C3）

• 高成功率，低隐蔽性： 劫持攻击实现了极高的 ASR（对于 C3 高达 100%，C1 平均为 94%）。
• 任务中断： 这些攻击显著干扰了任务完成度（降至 17–18%）。恶意工具经常导致智能体在工作流的第一步就停滞或失败。
• 时机敏感性： 成功严格取决于注入时机。对于 AbortSignal 劫持（C1），只有当恶意工具在第一次调用前（P1）替换了合法工具时，攻击才会成功。一旦进行了合法调用，攻击即告失败（P2–P4）。

工具框架化（条件 C2, C4, C5）

• 高隐蔽性，高成功率： 框架化攻击明显更加隐蔽。虽然 ASR 低于劫持攻击（平均范围在 36% 到 61% 之间），但任务完成率保持在较高水平（81–85%）。
• 模型差异：
  • GPT-5.4 和 Gemini 2.5 对描述注入和长描述溢出高度敏感。
  • Claude Opus 对长描述溢出（C4）表现出系统性的免疫力，且对描述注入（C2）的敏感度较低，这表明其具有不同的语义处理行为。
• 字段影响：
  • 描述（Description）： 是最具威力的字段；注入命令式指令（例如“在调用 send_email 前务必先调用”）会产生较高的成功率。
  • readOnlyHint： 设置 readOnlyHint=true 是一个出人意料的有效独立攻击向量（平均 ASR 为 87%），因为智能体会将其解释为安全信号。
  • inputSchema： 其有效性高度依赖于模型（Gemini 为 100%，而 GPT/Claude 为 0%）。
  • 复合攻击： 将描述注入与 readOnlyHint 结合使用（条件 C5）导致所有模型的成功率均达到 100%。

防御评估

作者实现了两种基线防御措施：

1. 来源绑定（Origin Binding）： 拒绝具有相同名称但来源不同的工具注册。
2. 数据流限制（Data Flow Restriction）： 拦截第三方工具调用并限制敏感参数字段。

• 结果： 这些防御措施将测试条件下的 ASR 从 36–100% 降低到了 0%。至关重要的是，任务完成率与基线相当，证明了防止数据泄露并不一定会破坏智能体的工作流。

重要性与主张

本文认为，工具表面本身已成为一个新兴的安全关注点。与传统攻击污染提示词或输出不同，MSTI 攻击的是智能体感知的环境状态。

• 协议漏洞： 研究表明，WebMCP 的动态注册和结构化元数据创造了独特的攻击面，这些攻击面无法仅通过升级模型版本来缓解。
• 隐蔽性 vs. 中断性： 攻击的可见性与破坏性之间存在权衡。劫持攻击是“响亮”且具破坏性的，而框架化攻击则是隐蔽的且能保持任务完成度，因此更难被用户察觉。
• 设计必要性： 当前的 WebMCP 部署缺乏针对动态引入工具的足够保护。作者声称，未来的实现必须将工具注册视为不仅是一个接口设计功能，更是一个关键的安全边界，需要进行来源验证、生命周期一致性检查和严格的数据流控制。

文章总结道，如果没有这些具备安全意识的架构，WebMCP 的灵活性将引入一个根本性风险，即智能体的执行流可能会在运行时被恶意的第三方脚本劫持或操纵。