この論文は、広く使われている 7 つの Model Context Protocol（MCP）クライアント、 すなわち Claude Desktop、Claude Code、Cursor、Cline、Continue、Gemini CLI、Langflow を対象に、 ツールポイズニングの脆弱性を介して行われるプロンプトインジェクションを初めて実証的に分析したもので ある。著者らはまず、既存のセキュリティ研究や脆弱性の開示から、各クライアントについて報告されている 脆弱性、インジェクションの経路、緩和策を比較分析し、それぞれに定性的なリスクレベルを割り当てる。 次に、ローカルでホストした悪意ある MCP サーバーを通じて、7 つのクライアントすべてに 4 種類の ツールポイズニング 攻撃 — 機密ファイルの読み取り、ツール呼び出しの活動の記録、 フィッシングリンクの作成、スクリプトのリモート実行 — を実証的に仕掛け、静的検証、パラメーターの 可視性、インジェクション検出、ユーザーへの警告、実行のサンドボックス化、監査ログという 6 つの セキュリティ機能について各クライアントの対応状況を評価している。
実証的な結果は、文献に基づく比較ランキングとはいくぶん異なっている。Claude Desktop と Cline は、 この論文において総合的に最も安全なクライアントと位置づけられているが、どちらも完全に免疫がある わけではない。Claude Desktop は記録攻撃に対して部分的な欠落を示し（記録用のツールは自動的には 呼び出されなかったものの、手動で呼び出せる状態のまま残っていた）、Cline はスクリプトのリモート実行 攻撃に対して安全ではなく、明示的に指示されると、対象の URL がブロックリストに載ったドメインに一致 しない限り、スクリプトをダウンロードして実行した。Cursor は 4 つの攻撃すべてにわたって非常に脆弱で あり、ツールの説明文の検証もパラメーターのフィルタリングも行っていないことが判明した。その実行の サンドボックス化の状況は、欠如が確認されたのではなく、未検証として記載されている。残りのクライアント （Claude Code、Continue、Gemini CLI、Langflow）は、攻撃の種類によって異なる一貫性のない保護を示した。 7 つのクライアント全体を通じて、論文は共通する構造的な弱点 — ツールの説明文の静的検証の欠如、 不十分なパラメーターの可視性、実行のサンドボックス化の欠落、振る舞いの監視がないこと、そして サーバーが提供するツールのメタデータを一切検証しない暗黙の信頼モデル — を特定し、これらは実装上の バグではなく、根本的なアーキテクチャ上の決定に由来すると論じている。
要点
- 7 つの MCP クライアントを 4 種類のツールポイズニング攻撃に対して実証的に検証し、Claude Desktop と Cline が総合的に最も優れた結果を示し（4 つの攻撃のうち 3 つを阻止。Claude Desktop は記録攻撃で 部分的な欠落、Cline はスクリプトのリモート実行で安全でないという結果）、Cursor は 4 つの攻撃すべてで 安全でなく、残りの 4 つのクライアント（Claude Code、Continue、Gemini CLI、Langflow）は攻撃に依存した まちまちの保護を示すことを明らかにした
- クライアントのセキュリティに関する実証的なランキングが、同じ著者らが事前に文献に基づく比較分析から 導いたランキングとは異なることを報告している。後者では Claude Desktop、Claude Code、Langflow が 低リスクのグループに位置づけられていた
- 検証した 7 つのクライアントのうち 5 つが、登録前にツールの説明文の静的検証を一切行っておらず （2 つは部分的な検証を行う）、ほとんどのクライアントが、登録時やサンドボックス化によって攻撃を防ぐの ではなく、実行中または実行後に攻撃を検出することに頼っていることを明らかにした
- クライアント全体に繰り返し現れる 5 つの構造的な弱点を特定している。すなわち、静的検証の欠如、 不十分なパラメーターの可視性、実行のサンドボックス化の欠落、振る舞いの監視の不在、そしてサーバーが 提供するツールのメタデータや MCP サーバーの評判を検証しない暗黙の信頼モデルである
- MCP クライアントのベンダーに対しては、静的検証、パラメーターの可視性、サンドボックス化された実行、 振る舞いの監視をデフォルトで実装することを、組織に対しては、MCP サーバーの来歴を監査し、エージェント に書き込みアクセスや昇格した権限を与える前にヒューマン・イン・ザ・ループによる承認を必須とすることを 推奨している
注記
- 論文における Unsafe／Partial／Safe の分類とリスクレベルは、標準化された指標ではなく著者らによる 定性的な判断である。著者らは、著者バイアスを減らすために文献の比較分析を実証実験とは独立に行ったと 述べており、2 つのアプローチが異なるランキングを生み出したと報告している
- 実行のサンドボックス化への対応状況は、著者らが明示的に述べている時間とリソースの制約により、 実証的なテストではなく、ドキュメントとアーキテクチャの分析に基づいて評価された
- テストは 2025 年 11 月に、特定のクライアントバージョンを対象として、実際の認証情報、本番システム、 実際のユーザーを一切含まない隔離されたローカル環境で実施された