签名、封装、泄露：MCP 工具链中「签名之外」的信任问题
Yichiet Aun, Mohammed A. Alhartomi, Jing Jie Tan, Waqas Nadeem, Adeb Salh, Shankar Karuppayah, Sin Chee Tan
摘要
AI 智能体依赖第三方工具（如 MCP 服务器）：发布者可被认证，执行可受运行时安全策略约束；但「真实性」并不保证「良性」——一个合法签名的工具可以完成其宣称功能，同时暗藏泄露机密信息的恶意代码。本文用一个已签名的 MCP 工具演示这种信任失效：它把敏感数据嵌入发往「策略允许目的地」的请求中。Meta 的 MCPGuard-Dynamic 在同一轮能拦住直接外泄，却未能阻止该攻击的每一次试验。作者提出 germline execution：每次工具调用都在从「无数据 germline 进程」fork 出的临时副本中运行，副本只获得其目的地被授权的信息，故即使恶意代码执行，可泄露内容也被副本可见数据所界定。在副本隔离与无数据 germline 的明确假设下，证明了对每个签名版本都满足 sink noninterference；对在重放模型内确定性的版本，给出可验证见证以判定信息流违规。153 次攻击运行中，germline execution 未检出任何未授权泄露，而基线防御的泄露率为 5.9%～74.5%。由单一副本服务的调用耗时 10～49 ms，比「每次调用都重启工具」的常规做法快 2～28 倍。
引用本文条目
GB/T 7714-2015
Yichiet Aun, Mohammed A. Alhartomi, Jing Jie Tan, et al. Signed, Sealed, Leaked: Trust Beyond Signature for MCP Toolchains[EB/OL]. arXiv preprint (cs.CR), 2026(2026-11-04)[2026-11-13]. https://arxiv.org/abs/2611.06585.
BibTeX
@misc{aun2026,
author = {Yichiet Aun and Mohammed A. Alhartomi and Jing Jie Tan and Waqas Nadeem and Adeb Salh and Shankar Karuppayah and Sin Chee Tan},
title = {Signed, Sealed, Leaked: Trust Beyond Signature for MCP Toolchains},
year = {2026},
organization = {arXiv preprint (cs.CR)},
howpublished = {\url{https://arxiv.org/abs/2611.06585}},
} 本条目为「智联观察」资料库收录，引用时请注明来源与本页链接。