MCP协议曝信任缺口 AI智能体可互相攻击

让AI智能体替人干活的背后，是一套让它们互相调用的通信标准。而安全研究人员的最新发现是：这套标准里缺了最基本的一环——信任校验。

独立研究员赛义德·阿纳斯·穆希丁（Syed Anas Mohiuddin）用五个月时间，对多家机构的智能体系统做了概念验证攻击，被攻破的名单包括谷歌、摩根大通、Weaviate、网络安全公司Rapid7、法国政府跨部门数字化总局，以及美国联邦机构。相关研究经Ars Technica报道后，多家被点名机构均确认了漏洞存在。

问题出在MCP（模型上下文协议）上——这是AI应用和智能体在企业内网互相通信的通用标准。攻击手法是提示词注入的变种：攻击者不直接攻击大模型，而是把恶意指令埋进某类专业智能体要处理的内容里，比如翻译或数据分析智能体。这类专职智能体防护往往单薄，读完指令不会起疑，而是把它当作正常的委派任务转交下家。

真正的裂缝在下一环：由于MCP服务器为每个智能体保存了凭证，且智能体被设计为默认信任内网里的其他智能体，那些本会被大模型安全机制拦下的操作，在这里畅通无阻。最常见的结果是服务端请求伪造（SSRF）——Web服务器被诱骗发出未经授权的网络请求，进而可能导致凭证外泄或越权访问数据库。

具体案例的评分差异耐人寻味。穆希丁在Rapid7网络中发现的漏洞编号CVE-2026-97228，严重性只打了10分制中的2.7分，已于上月修复；而谷歌的MCP数据库工具箱（googleapis/mcp-toolbox）因为HTTP客户端未设置重定向检查策略、也不校验目标IP地址，被评了8分，谷歌随后加入了IP允许与阻止列表来缓解。

Rapid7漏洞情报总监道格拉斯·麦基（Douglas McKee）打了个比方：「有人在内容里植入文本，一个智能体读完后把它当正常任务转交，第二个智能体因为信任交任务的人就直接执行了。每个协议在设计时都假设自己独立运行，所以只检查自己的前门，却没有人留意中间的走廊。」

这类漏洞难以根治，不是某一行代码写错了，而是架构层面的默认假设出了问题：企业部署智能体时沿用了「内网即可信」的老思路，把零信任原则丢在了AI淘金热的门外。研究人员的建议也很老派——把大模型生成的一切内容都当作不可信输入，再对每一跳的智能体调用补上授权校验。

编译自 Ars Technica，原标题："MCP for agent-to-agent comms may be the riskiest protocol you've never heard of"