实测 WebMCP 安全隐患:delete_all_data 工具可标成只读骗过 Agent
ialijr · reddit · 2026-10-24
一位开发者亲自实现了 WebMCP 两端并攻击自己的部署,结论是:现在别急着给网站加 WebMCP 支持。
核心问题在于规范自身承认「工具声明的意图无法保证与其实际行为一致」:
- 所有工具都运行在用户已登录的会话里,购物、转账、删内容都无需凭证,cookie 就在那儿;
- readOnlyHint 等安全标签由页面自己写,没人校验;
- 页面可以在用户同意后的会话中途新增或替换工具。
实测中,他注册了一个名为 deletealldata 的工具并标注为只读,Agent 果然相信标签并调用了它。作者还发布了完整的评估指南,并询问是否有人已在登录墙后上线 WebMCP 工具。
「编程与Agent」频道最新
- Cap 悬赏优化 PR:452 个合并、18 人共获 1275 美元赞助 — JosephJacks_ · 2026-10-24
- Trail of Bits 开源 Claude Code 技能，扫描隐藏 Brotli 漏洞副本 — banteg · 2026-10-24
- bunny 内部达成:任意游戏任意网络任意平台回放框架初步跑通 — banteg · 2026-10-24
- AI Agent 自动读取 402 状态码,在 Base 上打赏 0.01 USDC 小费 — lrettig · 2026-10-24
- 对 Codex 失望，让 Codex 自己写 handoff 文件转交 Claude — lxfater · 2026-10-24
- 纯 Rust 地理空间库 terrio v0.5.0 发布：告别 GDAL 依赖 — giswqs · 2026-10-24