MCP协议信任缺口遭利用：多机构智能体接连失守

当数百万组织加速把AI智能体接入日常工作流时，一条鲜为人知的暗管正成为攻击者的新入口。据Ars Technica安全栏目报道，独立研究员Syed Anas Mohiuddin完成了一系列概念验证攻击，证明模型上下文协议（Model Context Protocol，MCP）中的信任缺口，可以让攻击者利用目标网络内的单个智能体，向其他内部智能体传播有害指令。过去五个月，谷歌与另外四家互不相关的机构已相继确认此类漏洞，攻击的最终目的往往是窃取数据库内容以及敏感的商业与个人信息。

一条信任链上的借刀杀人：攻击如何发生

与直接忽悠大语言模型的常规提示注入不同，这种手法瞄准的是调用链中的某个具体智能体，例如负责翻译或数据分析的组件。报道指出，此类智能体的内置护栏即便存在，也往往形同虚设，于是它会把收到的恶意指令原样转发给链路下游的其他智能体；而后者由于明确信任上游智能体，会不加怀疑地照做。

攻击者由此可以在目标网络内部借刀杀人：一个被注入的智能体成为跳板，让有害指令沿智能体调用链层层扩散，最终诱导系统执行导出数据库内容、外传商业机密与个人信息等动作。由于每一步都发生在受信任的机器对机器通信之中，整个过程在安全团队眼中几乎与正常业务流量无异。

独立研究员Syed Anas Mohiuddin在测试后指出，这类攻击的特殊之处在于注入对象并非大语言模型本身，而是链条中的某个具体智能体；只要上游智能体被攻破，下游智能体会因为明确信任而照单全收。

五家机构接连中招：从华尔街到两国政府

Mohiuddin的测试名单相当有代表性，涵盖谷歌、摩根大通、开源向量数据库公司Weaviate、安全厂商Rapid7，以及法国政府部际数字司和美国联邦政府的智能体。除同样使用AI智能体外，这些机构几乎没有任何共性——这恰恰说明问题出在协议与架构层面，而非某一家厂商的实现细节。

在截至报道发稿的过去五个月里，谷歌与另外四家组织已陆续承认存在相关漏洞。对于智能体已被数百万组织采用的市场而言，这组样本传递的信号相当直白：无论金融、安全行业还是政府数字化部门，只要在内部部署了互相调用的智能体，就可能暴露在同一类结构性风险之下。

MCP是什么：智能体时代的通用插座，也是新攻击面

MCP即模型上下文协议，是AI应用与智能体在内部网络中彼此通信的一种标准，由Anthropic于2024年11月开源推出，随后被主流模型厂商与开发框架广泛接纳，常被比作AI应用的USB-C接口。它让智能体得以便捷地连接工具、数据源乃至其他智能体，客观上大幅降低了多智能体系统的搭建门槛，也解释了为何组织会在内网中部署成串相互调用的智能体。

但正是这种开箱即用的互联互通，构成了全新的攻击面。Ars Technica将MCP称为你可能从未听说过的最危险协议——在数百万组织争相部署智能体的当下，协议中隐含的机器间信任假设，与人们今天对陌生来电保持警惕的常识格格不入：一旦链条上游被注入恶意内容，默认信任机制反而成了攻击者的通行证。

为何出人意料且难以缓解

报道将此类漏洞形容为出人意料且难以缓解。原因在于：传统安全方案大多围绕单个模型或单次用户交互设计，例如过滤用户输入、审核模型输出；而在多智能体架构中，恶意指令以内部消息的面目在机器之间流转，恰好绕过了这些以人为边界的防线。与此同时，许多智能体本身根本没有护栏，防护责任被默认推给链路中的其他环节，最终形成谁都没有真正设防的真空地带。

要压缩这类风险，业内讨论较多的方向包括：为智能体之间的调用引入身份验证与最小权限、对跨智能体传递的内容做清洗与标注、对敏感操作设置人工确认环节，并保留完整的调用日志以便事后追溯。这些措施会牺牲部分无缝协作的便利，却可能决定下一阶段智能体落地的安全底线。

展望未来，多智能体协作仍是大势所趋，MCP式的互联协议也不会退场，但信任必须从默认配置变成需要验证的对象。对组织而言，在把更多智能体接入内网之前，先审视协议层的信任模型与护栏建设，或许比追逐模型能力升级更为紧迫；对协议制定者与厂商来说，能否把安全从附加项变成出厂设置，将直接影响这一轮智能体浪潮的成色。