暗黙的ツールポイズニング（implicit tool poisoning、ITP）は ツールポイズニングの一種であり、ポイズニングされたツール自体は一度も実行されない。MCP-ITP: MCP における暗黙的ツールポイズニングのための自動化フレームワーク の説明によれば、攻撃者は LLM エージェントの文脈推論の弱点を突くよう作り込んだ説明文を持つツールを公開する。Model Context Protocol の登録時にそのツールのメタデータがエージェントのコンテキストに読み込まれると、それがエージェントを誤らせ、既存の正規かつ高権限のターゲットツールを呼び出させて悪意ある操作を実行させる。論文が挙げる例では、ユーザーがエージェントにファイルの読み取りを依頼したにもかかわらず、エージェントはその依頼を無視し、代わりにファイル書き込みツールを呼び出して SSH 秘密鍵のような機密資産を改変する。エージェントがポイズニングされたツールを直接呼び出すよう誘導される明示的ツールポイズニングとの違いは、攻撃のトリガーが最終的に呼び出されるツールから切り離されている点にあり、論文はこれによって攻撃が隠密性を保ち、ツールの実行を監視する仕組みでは検知しにくくなると論じている。
使われ方
この用語は、MCP エコシステムを対象とする LLM エージェントのセキュリティ研究で用いられる。MCP-ITP: MCP における暗黙的ツールポイズニングのための自動化フレームワーク はこれを特に隠密性の高い脅威の一種として名付け、明示的なポイズニングや手作業で作られたポイズニング済みツールに焦点を当ててきたとする先行のツールポイズニング研究と対比している。同論文の脅威モデルでは、攻撃者はブラックボックスの立場に置かれる。すなわち、無害な MCP サーバーが公開するツールを調べ、その中からオリジナルツールと高権限のターゲットツールを選び、攻撃者が管理するサーバーを通じてポイズニングされたツールを公開することはできるが、ユーザーのクエリやエージェントの内部パラメータにはアクセスできない。
同論文の MCP-ITP フレームワークは、そうしたポイズニングされたツールを自動生成する。そのツール説明文は、ポイズニングされたツールをオリジナルツールと機能的に同等なものとして見せかける偽装部分と、コンプライアンスポリシーの口調で書かれた部分 — たとえば、オリジナルツールが中核機能を実行する前に、コンプライアンス上の理由からまずターゲットツールを呼び出さなければならない、と述べるもの — とを組み合わせている。同論文のケーススタディでは 3 つの結果が区別されている。エージェントが操作されてターゲットツールを呼び出す場合（成功）、エージェントがユーザーの意図どおりオリジナルツールを呼び出す場合（無視）、エージェントがポイズニングされたツール自体を呼び出す場合（直接）である。
関連用語
- ツールポイズニング — これを一種として含む、より広い攻撃クラス
- 間接プロンプトインジェクション — MCP-ITP: MCP における暗黙的ツールポイズニングのための自動化フレームワーク がツールポイズニングを位置づける攻撃ファミリー
- Model Context Protocol — この攻撃が悪用するツール登録フェーズを持つプロトコル