Исследователи из лаборатории TikTok Privacy Innovation Lab Сират Самьюн и Цзянь Ду 27 февраля 2026 года опубликовали работу «Когда инструменты становятся промптами: почему многоходовые системы MCP нарушают традиционные предположения о безопасности». В ней анализируются уязвимости протокола Model Context Protocol (MCP), появившегося в конце 2024 года для подключения ИИ-агентов к внешним сервисам.
Авторы доказали, что вредоносные описания инструментов могут выступать в роли скрытых инструкций. Это заставляет ИИ-агентов пересылать историю диалогов с пользователями на серверы злоумышленников. Подобная атака позволяет сторонним лицам незаметно копировать все ответы и запросы в рамках сессии.
Исследование выявило риск утечки конфиденциальных данных, включая номера социального страхования, при взаимодействии с несколькими серверами. Эксперименты показали, что персональную информацию можно восстановить, объединив фрагменты данных из разных источников, даже если агент получил прямое указание не раскрывать чувствительные сведения.
Авторы критикуют текущие методы оценки безопасности, которые рассматривают каждый этап диалога изолированно. По их мнению, такой подход игнорирует накопленные риски. Ранее бенчмарки MCPTox фиксировали средний показатель успешности атак через отравление описаний инструментов на уровне 36,5%.
Исследователи призывают разработчиков рассматривать описания инструментов как недоверенный ввод и анализировать риски на протяжении всей истории общения. Проверка каждого инструмента по отдельности признана недостаточной, так как использование сторонних публичных серверов MCP создает дополнительные точки входа для вредоносных команд.
