この論文は、Model Context Protocol（MCP）を使うエージェントに対する攻撃を扱う。この論文が土台とするツールポイズニング攻撃では、悪意のある指示がツールのメタデータに埋め込まれ、ツールの登録時にエージェントのコンテキストへ読み込まれる。著者らは先行研究を、主に明示的ツールポイズニング（ポイズニングされたツールそのものをエージェントに呼び出させる攻撃）に焦点を当てたもの、あるいは手作業で作成されたポイズニング済みツールに依存したものと位置づけ、明示的攻撃はエージェントが疑わしいツールを目に見える形で実行しなければならないため検出されやすいと論じる。そこで著者らは暗黙的ツールポイズニングを研究対象とする。これはポイズニングされたツールが一切呼び出されない攻撃であり、その説明文がエージェントの文脈的推論を操作して、既存の正規だが高権限のツールを呼び出させることで悪意ある操作を実行させ、トリガーと最終的に呼び出されるツールとを切り離す。
著者らの貢献は MCP-ITP であり、彼らはこれを MCP エコシステムにおける暗黙的ツールポイズニングのための初の自動化・適応型フレームワークと説明している。MCP-ITP はポイズニングされたツールの構築をブラックボックス最適化問題として扱う。攻撃者はユーザーの実際のクエリもエージェントの内部も見ることはできないが、正規のサーバーが公開するツールを調べ、攻撃者が管理するサーバーを通じて自身のツールを公開することはできる。ポイズニングされた説明文は 2 つの部分に分けられる。1 つはツールを正規の元ツールと機能的に同等に見せる固定の偽装部分、もう 1 つはリダイレクトを担う最適化対象の部分である。最適化は 3 つの LLM によって駆動される。攻撃者モデルが候補となる説明文を生成し、検出器モデルが LLM ベースの悪意あるツール検出を模擬し、評価器モデルが各候補を、通常であれば元のツールを呼び出させる「シャドウクエリ」の集合に対してテストする。検出器の判定と評価器の結果は、木構造探索の次のラウンドへフィードバックされる。
評価には MCPTox データセット（45 の実世界 MCP サーバーと 353 の実ツールに基づき、1,497 件の悪意あるテストケースを含む）を用い、そのうち暗黙的ポイズニングに該当する 548 件に絞っている。そして GPT、DeepSeek、Qwen、Gemini の各ファミリーから選んだ 12 の LLM エージェント設定にわたって、MCP-ITP を MCPTox の手作業によるポイズニング済みツールと比較している。著者らは、暗黙的ツールポイズニングは MCP エコシステムにとって現実的な脅威であり、それに特化した防御が急務であると結論づけている。
主なポイント
- 報告された設定では、DeepSeek-V3 が攻撃者モデル、Qwen3-32b が評価器、Qwen3-8b が検出器を務め、デフォルトではラウンドあたり 5 候補、木の幅 1、反復 3 回である。
- MCP-ITP は 12 のエージェント設定すべてで MCPTox ベースラインより高い攻撃成功率（ASR）を達成し、そのうち 8 つでは 10 ポイント超上回った。GPT-3.5-turbo では 48.2% から 84.2%、DeepSeek-V3 では 44.8% から 78.4%、推論を有効にした Qwen3-32b では 45.1% から 69.9% に上昇した。
- この向上は主に、エージェントが影響を受けず元のツールを呼び出す「Ignored」という結果が減ったことによる。o1-mini ではこれが 19.9% から 4.2% に、DeepSeek-V3 では 38.0% から 14.8% に減少した。
- MCP-ITP のポイズニング済みツールは検出もされにくい。AI-Infra-Guard 検出器に対して、o1-mini における悪意あるツール検出率（MDR）は MCPTox のツールの 17.22% から 0.96% に低下し、Oracle 検出器に対しては 77.35% から 31.39% に低下した。
- Qwen3 ファミリー内では、より能力の高いモデルほど脆弱であり、推論モードを有効にすると ASR が大きく上昇した。Qwen3-8b では 7.44% から 40.5% に、Qwen3-32b では 28.8% から 69.9% に上がった。著者らはこれを逆スケーリング現象と関連づけ、能力の向上がコンテキスト内でポイズニングされたツール仕様への感受性を高めうることを示唆している。
- 説明文に偽装部分を加えると、高能力モデルでは ASR が上昇した（o1-mini で 2.6 ポイント、GPT-4o-mini で 7.7、DeepSeek-R1 で 4.6）一方、Qwen3 の各モデルや Gemini-2.5-flash のような比較的弱いモデルでは低下し、これらのモデルにはより短い説明文の方が効果的だった。
- 評価器に o1-mini ではなくより弱い Qwen3-32b を用いると、概して ASR が高くなり、モデル間の汎化性能も向上した。著者らはその理由を、能力の高い評価器では候補が早々にスコアのしきい値を満たしてしまい、より堅牢な操作パターンを見つける前に探索が止まってしまうためだとしている。
補足
著者らは 2 つの限界を挙げている。LLM ベースの検出により強力なモデルを用いると依然として MDR が上昇すること、そして MCP に特化した暗黙的ツールポイズニングのデータセットがまだ限られているため評価が MCPTox に限定されていることである。主要な結果は設定ごとに 1 回の評価から得られたものである。著者らは、攻撃を実世界のシステムや稼働中のシステムに対して展開してはおらず、実験は管理された環境で行われ、データセット中の個人データはすべてランダムに生成されたものであると述べている。
本論文は arXiv:2601.07395v1 [cs.CR] として 2026 年 1 月 12 日付で公開されており、著者 4 名はいずれも中国科学技術大学に所属している。