A2M: Pembajakan Agen yang Dioptimalkan Jejak di Ekosistem MCP

Kerangka black-box dua tahap yang mempersenjatai metadata alat dan jejak eksekusi untuk membajak agen Model Context Protocol

Laizhen Li; Xuan Wang; Peicheng Zhao; Juanjuan Zhao; Kejiang Ye; Cheng-zhong Xu; Xitong Gao· 2026· DOI 10.48550/arXiv.2609.26761

Masalah inti

Agen yang dibangun di atas Model Context Protocol (MCP) memilih alat dari server pihak ketiga melalui pencocokan semantik antara permintaan pengguna dan metadata alat. Desain ini menciptakan risiko rantai pasok semantik: penyerang yang mengendalikan metadata alat atau keluaran alat dapat memengaruhi alat mana yang dipanggil agen dan bagaimana agen bernalar setelahnya. Makalah ini memperkenalkan **A2M (Attraction-to-Manipulation)**, kerangka black-box dua tahap untuk membajak agen MCP. Model ancaman mengasumsikan tidak ada akses ke bobot atau gradien model; penyerang hanya mengendalikan metadata alat berbahaya dan konten yang dikembalikannya saat dieksekusi. Penulis mengevaluasi A2M pada LiveMCPBench terhadap GLM-4.6 dan empat model tambahan, mencakup empat skenario serangan: Cognitive Denial of Service, Information Exfiltration, Environment Integrity Compromise, dan Reasoning Derailment. Klaim utamanya adalah pencocokan semantik semata merupakan batas keamanan yang tidak memadai untuk ekosistem alat MCP.

Pada LiveMCPBench, serangan langsung yang dioptimalkan dan dievaluasi pada GLM-4.6 menghasilkan hasil rata-rata makro berikut di empat skenario: - **Tingkat pemanggilan alat berbahaya:** 93,6% - **Biaya token berbobot pada Cognitive Denial of Service:** 32,4\times baseline benign - **Rata-rata tingkat keberhasilan serangan** pada Information Exfiltration, Environment Integrity Compromise, dan Reasoning Derailment: 74,4% Transfer ke empat model lain **tanpa optimasi ulang** menghasilkan rata-rata makro yang bersesuaian: - **Tingkat pemanggilan alat berbahaya:** 63,6% - **Biaya token berbobot:** 2,7\times - **Rata-rata tingkat keberhasilan serangan:** 24,5% Kesenjangan antara hasil langsung dan hasil transfer menunjukkan bahwa optimasi metadata sebagian bersifat spesifik model, sementara fase manipulation mempertahankan efektivitas lintas model yang berarti. Inflasi token 32,4\times menunjukkan bahwa Cognitive Denial of Service adalah vektor denial-of-service ekonomi yang praktis, bukan sekadar kegagalan kebenaran.

Agen yang dibangun di atas Model Context Protocol (MCP) memilih alat dari server pihak ketiga melalui pencocokan semantik antara permintaan pengguna dan metadata alat. Desain ini menciptakan risiko rantai pasok semantik: penyerang yang mengendalikan metadata alat atau keluaran alat dapat memengaruhi alat mana yang dipanggil agen dan bagaimana agen bernalar setelahnya. Makalah ini memperkenalkan **A2M (Attraction-to-Manipulation)**, kerangka black-box dua tahap untuk membajak agen MCP. Model ancaman mengasumsikan tidak ada akses ke bobot atau gradien model; penyerang hanya mengendalikan metadata alat berbahaya dan konten yang dikembalikannya saat dieksekusi. Penulis mengevaluasi A2M pada LiveMCPBench terhadap GLM-4.6 dan empat model tambahan, mencakup empat skenario serangan: Cognitive Denial of Service, Information Exfiltration, Environment Integrity Compromise, dan Reasoning Derailment. Klaim utamanya adalah pencocokan semantik semata merupakan batas keamanan yang tidak memadai untuk ekosistem alat MCP.

A2M menguraikan serangan menjadi dua tahap optimasi berurutan.

Hasil ini menyingkap kelemahan struktural pada MCP: pencocokan semantik memperlakukan metadata alat sebagai input tepercaya, tetapi metadata dikendalikan penyerang di server pihak ketiga. A2M menunjukkan bahwa asumsi kepercayaan ini dapat dieksploitasi secara end-to-end — dari pemilihan (Attraction) hingga pengarahan pasca-pemilihan (Manipulation) — hanya dengan kueri black-box dan jejak eksekusi. Hasil transfer (63,6% pemanggilan, 24,5% keberhasilan) menunjukkan bahwa pertahanan harus menangani kedua tahap. Pemeriksaan metadata saja mungkin menurunkan pemanggilan tetapi tidak manipulation; isolasi runtime saja mungkin membatasi manipulation tetapi tidak pemilihan. Karena itu, penulis mendorong **pemeriksaan alat yang lebih kuat dan isolasi runtime** di ekosistem MCP. Batasan mencakup evaluasi pada satu benchmark (LiveMCPBench) dan himpunan tetap empat skenario. Degradasi transfer juga menyiratkan bahwa optimasi serangan sensitif terhadap perilaku pencocokan semantik model target. Pekerjaan selanjutnya dapat mengeksplorasi pertahanan adaptif, metadata alat yang ditandatangani, dan deteksi anomali tingkat jejak. **Taksonomi:** Architecture, Cybersecurity, Network, Cryptography.

Praktisi dan peneliti ilmu komputer

Membuka konten member…