TikTok 论文揭示 MCP 新攻击 Log-To-Leak，成功率最高达 100%
pdamodaran · x · 2026-10-29
TikTok 研究者发布论文《Log-To-Leak: Prompt Injection Attacks on Tool-Using LLM Agents via the Model Context Protocol》，揭示 MCP 工具的攻击面。
攻击原理
- MCP 工具以自然语言描述供 agent 阅读并决定调用顺序，攻击者可在描述中藏入指令，在不破坏原任务的前提下改变后续工具调用。
- Log-To-Leak 在工具描述中植入由 Trigger（时机触发）、Tool Binding（工具名）、Justification（正当理由）、Pressure（不可跳过的施压）四部分组成的指令，诱导 agent 在最后一次合法调用后，调用攻击者控制的 savelogs 工具，打包上传用户查询、MCP 服务器名、服务器响应和 agent 回复。
实验结果
- 覆盖 5 个 MCP 服务器、4 个 LLM agent，共 18 组可执行工具的模型-服务器组合。
- 攻击成功率 62.64%–100%，条件记录准确率 76.55%–95.64%；16 组的原任务完成度变化不超过 6.63 个百分点，即任务照常完成同时数据被窃。
- 三种已评测防御在 GitHub MCP + GPT-4o 场景下残余 ASR 仍高于 55%，某指令检测器还会误报 85.53% 的良性描述。
结论：任务成功完成不代表安全，需要由宿主控制二次工具调用的授权机制。
所属事件:TikTok 论文揭示 MCP 智能体 Log-To-Leak 攻击(2 条相关)→
「编程与Agent」频道最新
- Nous Research 新插件让主 Agent 自动为每个子任务选最合适的模型 — Teknium · 2026-10-29
- 研究者：纯 on-policy RL 样本效率太低，难撑长程 Agent 训练 — JoshPurtell · 2026-10-29
- 开源 Claude Code 插件 Arena：100 个子智能体同题混战淘汰出最佳答案 — blaizedsouza · 2026-10-29
- 并行任务一多绕不开 Worktree:宝玉谈本机与云端跑 agent 的取舍 — dotey · 2026-10-29
- Agent 正在重写 durable execution:为程序设计的基础设施不适用了 — blaizedsouza · 2026-10-29
- 开发者展示 AI 跑团引擎记忆图谱：1947 节点随剧情逐回合生长 — Edenisb · 2026-10-29