MCP体系における隠蔽された毒性と操作

MCP (モデルコンテキストプロトコル) 体系は現在初期発展段階にあり、全体環境は比較的混沌としており、さまざまな潜在的な攻撃方法が次々と現れ、既存のプロトコルやツールの設計では効果的に防御することが難しい。MCPの安全性を向上させるため、あるセキュリティ会社がMasterMCPツールをオープンソース化し、実際の攻撃演習を通じて製品設計の安全上の欠陥を発見する手助けをし、それによってMCPプロジェクトを強化する。

この記事では、MCPシステム下での一般的な攻撃手法、例えば情報汚染や悪意のある命令の隠蔽などの実際のケースを示します。すべてのデモスクリプトもオープンソースとして提供され、安全な環境で全プロセスを完全に再現することができ、これらのスクリプトに基づいて自分の攻撃テストプラグインを開発することも可能です。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

全体アーキテクチャの概要

ターゲット MCP のデモンストレーション: Toolbox

ある有名なMCPプラグインサイトが提供する公式MCP管理ツール。Toolboxをテスト対象として選んだ主な理由は: ユーザー数が多く、代表的であること; 他のプラグインの自動インストールをサポートすること; 機密設定が含まれており、デモに便利であること。

悪意のある MCP の使用を示す: MasterMCP

MasterMCPは、安全テストのために作成された悪意のあるMCPツールのシミュレーションであり、プラグインアーキテクチャ設計を採用し、以下の重要なモジュールを含んでいます:

1. ローカルウェブサイトサービスのシミュレーション:

FastAPIフレームワークを使用して簡易HTTPサーバーを構築し、一般的なウェブページ環境を模倣します。これらのページは見た目は正常ですが、実際にはソースコードやインターフェースのレスポンスに巧妙に設計された悪意のあるペイロードが隠されています。

2. ローカルプラグイン化MCPアーキテクチャ

MasterMCPはプラグイン方式で拡張され、新しい攻撃手法を迅速に追加できるようになっています。実行後はサブプロセスでFastAPIサービスが実行されます。

! 実戦:MCPシステムにおける秘密の毒殺と操作

デモクライアント

• Cursor:現在世界的に流行しているAI支援プログラミングIDEの一つ
• Claude Desktop:公式のAnthropicクライアント

デモ用の大規模モデル

• クロード 3.7

このバージョンを選択する理由は、敏感な操作の識別において改善が見られ、現在のMCPエコシステムにおいて強力な操作能力を代表しているからです。

クロスMCP悪意のある呼び出し

ウェブコンテンツ毒攻撃

1. コメント型の毒

カーソルがローカルテストサイトにアクセスしています。これは一見無害な「Delicious Cake World」ページです。

指令を実行する:

内容を取得する

結果は、Cursorがウェブページの内容を読み取るだけでなく、ローカルの敏感な設定データをテストサーバーに返送したことを示しています。ソースコードには、悪意のあるキーワードがHTMLコメント形式で埋め込まれています。

! 実戦:MCPシステムにおける秘密の毒殺と操作

2. コード型コメント毒

アクセス/encodeページは、前の例と同じように見えますが、悪意のあるプロンプトがエンコードされており、より隠蔽されています。

ソースコードに明示的なヒントが含まれていなくても、攻撃は成功裏に実行される。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

MCP ツールが情報ポイズニングを返す

シミュレーションコマンドを入力してください:大量のリンゴを取得する

指令がトリガーされた後、クライアントはMCPを跨いでToolboxを呼び出し、新しいMCPサーバーを正常に追加しました。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

サードパーティAPI汚染攻撃

リクエストを実行する:

/api/data から json をフェッチします

結果: 悪意のあるプロンプトが返されたJSONデータに埋め込まれ、悪意のある実行が正常にトリガーされました。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

MCP初期化フェーズにおけるポイズニング技術

悪意のある関数の上書き攻撃

MasterMCPはToolboxと同名のremove_server関数を作成し、悪意のあるプロンプトを隠すためにエンコードしました。

指示を実行する:

ツールボックス 取得 プラグイン サーバー 削除

Claude Desktop は、元のツールボックス remove_server メソッドを呼び出す代わりに、MasterMCP によって提供される同じ名前のメソッドをトリガーします。

原理は「従来の方法は廃止された」と強調することで、大規模モデルに悪意のある上書き関数を優先的に呼び出すように誘導することです。

! 実戦出発:MCPシステムにおける秘密の毒殺と操作

悪意のあるグローバルチェックロジックを追加

MasterMCPは、すべてのツールを実行する前にこのツールを実行して安全チェックを行う必要があるbananaツールを作成しました。

関数を実行するたびに、システムは最初にバナナチェックメカニズムを呼び出します。これは、コード内で「必ずバナナ検査を実行する」と繰り返し強調することで実現されるグローバルなロジックインジェクションです。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

悪意のあるプロンプトを隠すための高度なテクニック

大規模モデルに優しいコーディング方式

• 英語環境: Hex Byteエンコーディングを使用
• 中文環境:使用NCRエンコーディングまたはJavaScriptエンコーディング

! 実戦:MCPシステムにおける秘密の毒殺と操作

ランダムな悪意のあるペイロード返却メカニズム

/randomをリクエストすると、毎回ランダムに悪意のあるペイロードを含むページが返され、検出と追跡の難易度が大幅に増加します。

! 実戦出発:MCPシステムにおける秘密の毒殺と操作

まとめ

MasterMCPの実戦デモを通じて、私たちはMCPシステムに隠されたさまざまなセキュリティリスクを直感的に見ることができました。単純なプロンプトインジェクション、クロスMCP呼び出しから、より巧妙な初期化段階攻撃や悪意のある命令の隠蔽まで、すべてのプロセスが私たちに警告しています:MCPエコシステムは強力ですが、同時に脆弱です。

このデモが皆さんに警鐘を鳴らすことを願っています: 開発者であれユーザーであれ、MCPシステムに対して十分な警戒心を持ち、すべてのインタラクション、すべてのコード、すべての戻り値を常に注視すべきです。すべての細部において厳格に取り組むことで、真に堅固で安全なMCP環境を構築することができます。

! 実戦出発:MCPシステムにおける秘密の毒殺と操作